Resumo: somar a conta total após uma violação
- O resgate é o menor: A linha do resgate é o número aborrecido. Multas regulatórias, aumentos de seguros, perda de clientes, perda de parceiros, custo de oportunidade e o arrastar reputacional são a conta real, e a área financeira subestima tudo isso até acontecer.
- Prevenir custa menos: A Meta Ireland foi multada em 1,2 mil milhões de euros ao abrigo do RGPD. A Norsk Hydro perdeu 71 milhões de dólares na primeira semana de ransomware. A Cambridge Analytica encerrou por completo. A despesa em infraestrutura da Royal Mail subiu 5,6% no ano seguinte ao ataque. Prevenir sai uma ordem de grandeza mais barato.
- Construa o caso de negócio: Antes da próxima conversa sobre orçamento de segurança, calcule o preço dos três principais scripts de terceiros como se fossem a porta de entrada. Se a resposta da área financeira a 'qual seria o custo da multa, da perda de clientes e da reconstrução da infraestrutura' for um encolher de ombros, já tem o seu caso de negócio.
Sem tempo? Veja o bloqueio de Magecart e skimmers no navegador da cside. Cobre tudo o que se segue numa única implementação.
Calcular o verdadeiro custo de um ataque cibernético é difícil. Nenhum é igual, e as empresas respondem de forma diferente. No entanto, relatamos isso com o máximo de detalhes possível para representar com precisão o quadro completo de quando isso acontece com a sua empresa.
Sofrer um ataque acarreta normalmente consequências muito grandes. Tomar medidas preventivas deve ser uma prioridade para qualquer empresa que conduza negócios e tenha dados online.
Custos financeiros
Provavelmente a razão mais óbvia pela qual uma empresa se preocupa com ataques cibernéticos são os custos financeiros que estes acarretam. Vamos analisar isto com o máximo de detalhe possível, começando pelos custos diretos.
Multas e honorários legais
Honorários legais e multas são a primeira coisa que vem à mente. Regulamentos como o RGPD, a HIPAA e a PCI DSS são os mais frequentemente violados, com multas pesadas como resultado.
Em 2018, a British Airways recebeu uma multa de £183 milhões, mais tarde reduzida para £20 milhões. Leia aqui a história completa. E, muito recentemente, a Kaiser Permanente violou as regras da HIPAA, o que relatámos aqui. Em ambos os casos, os dados dos utilizadores foram exfiltrados através do lado do cliente, algo que poderia ter sido detetado e evitado.
Mas a Meta lidera atualmente a lista quando se trata de estabelecer a multa recorde. Em maio de 2023, o DPC irlandês multou a Meta Ireland em 1,2 mil milhões de euros por violação do RGPD. A penalização está relacionada com transferências de dados da UE/EEE para os EUA sem salvaguardas de privacidade suficientes.
Perda de receita
O tempo de inatividade durante um ataque pode paralisar as operações de negócio, levando a perdas de receita significativas. O Relatório de Custo de uma Violação de Dados de 2023 da IBM apurou que o custo médio de uma violação de dados é de 4,45 milhões de dólares, sendo a perda de negócio a maior parcela desse custo.
Este valor sobe algumas centenas de milhares todos os anos, e é apenas a média.
No recente ataque à Polyfill, a Google deixou de servir anúncios a sites com o script malicioso. Isto pressionou os proprietários dos sites, retirando-lhes a receita publicitária para os forçar a remover os scripts.
A Google está agora a enviar um aviso sobre o carregamento de JS de terceiros a partir de domínios como polyfill.io bootcss.com bootcdn.net & staticfile.org que podem fazer coisas más aos seus utilizadores se o seu site usar JS destes domínios.
, Michal Špaček (@spazef0rze)
Independentemente disso, esta foi uma ótima reação por parte da Google. Mas também prejudicou a receita publicitária do site até que este tomasse medidas, o que é um custo que sofreu.
Compensação a clientes
Quando os clientes são afetados, processam frequentemente, e com razão, para obter compensação. Em 2019, a Equifax concordou com um acordo de quase 700 milhões de dólares relativo a investigações federais e estaduais sobre uma violação que afetou cerca de 150 milhões de pessoas, com 425 milhões de dólares do acordo a irem diretamente para os consumidores afetados.
Danos reputacionais
A reputação é um ativo inestimável, e um ciberataque prejudica gravemente a confiança. A cobertura mediática negativa acrescenta pressão às empresas que atravessam um ataque e as suas consequências. Ainda que a Marriott tenha registado lucros em 2018, é razoável assumir que teve algumas reservas a menos após a violação de dados de 2018, que afetou 500 milhões de hóspedes.
Ou recorde-se de quando a Yahoo divulgou duas violações significativas e o preço da sua aquisição foi cortado em 350 milhões de dólares.
Consideramos frequentemente apenas o impacto imediato, mas existe também um impacto a longo prazo. Calcular esse impacto é quase impossível, mas o escândalo da Cambridge Analytica de 2018 é um exemplo perfeito.
As consequências desse escândalo foram enormes e ocuparam os canais de notícias mundiais durante semanas. A Cambridge Analytica anunciou mais tarde que cessaria todas as operações devido ao dano reputacional ter sido tão grave que afastou praticamente todos os seus clientes e fornecedores.
Interrupção operacional
O tempo de inatividade é outro resultado imediato de um ataque cibernético. O ataque de ransomware à Norsk Hydro em 2019 resultou num custo estimado de interrupção operacional de 71 milhões de dólares só na primeira semana. Nesse exemplo, 35 000 funcionários ficaram com ficheiros, servidores e PCs bloqueados. As equipas de TI e de segurança tiveram de mudar o foco e responder à violação, atrasando outros projetos. É frequente recorrer-se a equipas externas para ajudar a resolver o problema, o que aumenta ainda mais os custos.
Pagamento do resgate
Nesse mesmo exemplo da Norsk Hydro, os atacantes deixaram uma nota que dizia:
"O preço final depende da rapidez com que nos contactar." e pediram que o pagamento fosse feito em Bitcoin.
A Norsk Hydro optou, em vez disso, por restaurar os seus dados através de servidores de backup fiáveis.
Mas a Travelex, casa de câmbio de moeda estrangeira sediada em Londres, foi alvo do grupo de ransomware 'Sodinokibi' na véspera de Ano Novo de 2019. Os atacantes encriptaram os dados da Travelex e exigiram inicialmente 6 milhões de dólares.
O ficheiro readme deixado nos seus sistemas dizia:
"É apenas negócio. Não nos importamos minimamente consigo ou com os seus dados, exceto para obter benefícios. Se não cumprirmos o nosso trabalho e as nossas responsabilidades, ninguém irá colaborar connosco. Não é do nosso interesse. Se não colaborar com o nosso serviço, para nós tanto faz. Mas perderá o seu tempo e os seus dados, porque só nós temos a chave privada. Na prática, o tempo vale muito mais do que o dinheiro."
Após negociações, pagaram um resgate de 2,3 milhões de dólares para recuperar o acesso aos seus ficheiros. Os atacantes forneceram a chave para desfazer a encriptação, e a Travelex retomou as operações.
Atualizações de tecnologia e infraestrutura
Depois de ter sido alvo do grupo de ransomware 'LockBit' em janeiro de 2023, a Royal Mail, do Reino Unido, enfrentou graves interrupções operacionais. O ataque afetou particularmente o seu Centro de Distribuição Mundial de Heathrow, que processa quase todo o correio que entra e sai do Reino Unido, provocando o caos.
Para remediar o ataque e reforçar a sua segurança, a Royal Mail gastou aproximadamente £10 milhões nos seis meses seguintes a atualizar a sua infraestrutura na sequência do ataque. Isto foi noticiado como um aumento anual de 5,6% nos custos de infraestrutura da empresa.
Custos ocultos adicionais
Para além dos custos óbvios acima mencionados, a maioria dos artigos que relatam os custos totais após um ataque de cibersegurança falha quase sempre em incluir o seguinte:
Aumento dos prémios de seguro
Os prémios de ciberseguro podem subir significativamente após um ataque. De acordo com o relatório Cyber Insurance Seeing Influx of Newcomers as Risk Awareness Grows, 77% dos inquiridos sofreram aumentos anuais nos prémios, impulsionados em grande parte por um aumento nas reclamações resultantes de violações de dados e outros incidentes cibernéticos.
O seguro não pagar
Embora não tenha sido um ataque cibernético, o recente fiasco da Crowdstrike parece estar também a causar problemas significativos ao nível dos seguros. A empresa foi responsável por causar muitos danos, mas, como não se tratou de um ataque cibernético, as seguradoras hesitam em pagar.
Se alguém está a perguntar-se qual é a posição do ciberseguro em relação à CrowdStrike - tenho amigos em 3 seguradoras diferentes, e todos dizem que não irão cobrir as reclamações porque estão fora da apólice.- Kevin Beaumont (@GossiTheDog)
Estes seguros não são infalíveis, o que faz com que, em casos como este, as empresas fiquem com a conta. É praticamente certo que um processo judicial está pendente contra a Crowdstrike para recuperar os custos e as perdas sofridas.
Perdas de receita a longo prazo
A perda de clientes na sequência de uma violação pode levar a um declínio de receita a longo prazo. Nos EUA, a PCI Pal relata que 83% dos consumidores afirmam que deixarão de gastar com uma empresa durante vários meses imediatamente após uma violação de segurança, e mais de um quinto (21%) dos consumidores afirmam que nunca mais voltarão a essa empresa.
Queda no preço das ações
As empresas cotadas em bolsa veem frequentemente uma queda no preço das suas ações na sequência de uma violação. Em outubro de 2023, a Okta divulgou uma violação de dados que, aliada à resposta tardia da empresa, levou a uma queda notável no preço das suas ações. Após a divulgação, as ações da Okta caíram quase 12% à medida que os investidores reagiam à notícia e às potenciais implicações a longo prazo de problemas de segurança repetidos.
E, voltando ao exemplo da Crowdstrike, as ações da Crowdstrike caíram drasticamente, apagando milhões em valor no papel.
Relações com fornecedores e parceiros
Embora os exemplos relatados sejam raros, não é difícil imaginar que parceiros e fornecedores procurem novas oportunidades quando uma empresa é atacada.
Custos de oportunidade
Os custos de oportunidade surgem quando as equipas têm de mudar o foco para lidar com a violação e ajudar a proteger a empresa após o ataque. Isto consome tempo dos funcionários e, frequentemente, recursos adicionais que podem travar a inovação e o progresso, além de simplesmente aumentar os custos mensais das ferramentas adicionadas.
Roubo de propriedade intelectual
Em 2011, o maior cliente da AMSC, o Sinovel Wind Group, obteve ilegalmente o código-fonte da AMSC para o software de turbinas eólicas. O Tribunal investigou o assunto e concluiu:
"Em vez de pagar à AMSC mais de 800 milhões de dólares em produtos e serviços que tinha acordado comprar, a Sinovel arquitetou um esquema para roubar descaradamente a tecnologia proprietária de turbinas eólicas da AMSC, causando a perda de quase 700 empregos e mais de mil milhões de dólares em capital próprio dos acionistas da AMSC,"
O verdadeiro custo de um ataque cibernético
Calcular o verdadeiro custo de um ataque cibernético é difícil, uma vez que cada incidente e cada resposta variam. O quadro completo vai além das perdas financeiras imediatas: um ataque cibernético pode ser devastador para as finanças, a reputação, as operações e a viabilidade a longo prazo.
Para ter uma ideia dos custos reais, a Accenture estima que o custo do cibercrime a nível mundial atinja 10,5 biliões de dólares em 2025. A empresa observou ainda um aumento de 200% nos níveis de disrupção neste domínio entre 2017 e 2022.
A cibersegurança merece atenção no sentido mais amplo possível.
As medidas preventivas devem ser uma prioridade máxima para qualquer empresa. É por isso que desenvolvemos a nossa abordagem para travar ataques de scripts de terceiros do tipo 0-day. Ao compreender os impactos, esperamos que isto sirva de motivação extra para se antecipar a qualquer problema potencial.
Não seja a próxima história, pode começar a usar o cside gratuitamente hoje mesmo.
