Especialistas da Positive Technologies analisaram o mercado negro de cibersegurança e descobriram que o acesso pronto à infraestrutura corporativa geralmente custa entre US$ 100 e US$ 10.000. É importante ressaltar que os danos resultantes de um ataque subsequente podem atingir milhões de dólares. A pesquisa indica que o custo do acesso depende, primeiramente, do tamanho da empresa e de sua receita. Uma parcela significativa desses anúncios se refere a organizações com receita anual superior a US$ 1 milhão, enquanto acessos a redes de empresas menores costumam ser vendidos em lote, aparecendo raramente nas estatísticas.
Os "lotes" mais caros estão associados a organizações governamentais e financeiras. Assim, o acesso à infraestrutura de uma instituição governamental pode custar até US$ 1,5 milhão, e a de uma empresa financeira, até US$ 1 milhão, refletindo o potencial de lucro para os atacantes. Em termos de volume de anúncios, os setores de indústria e comércio lideram, representando 20% e 19% de todas as mensagens, respectivamente. O relatório também destaca que, além de acessos prontos, vulnerabilidades são ativamente negociadas em fóruns de hackers e na dark web. Quase metade desses anúncios está relacionada a bugs zero-day, para os quais ainda não existem patches. Outros 11% das ofertas referem-se a vulnerabilidades 1-day, cujos correções já foram lançadas, mas ainda não foram instaladas em todos os sistemas.
Os vendedores oferecem com mais frequência bugs que permitem a execução remota de código arbitrário (43%) ou o escalonamento de privilégios no sistema (25%). A combinação dessas vulnerabilidades permite que os atacantes assumam o controle de um dispositivo e continuem a se mover pela rede corporativa. Além disso, 38% das publicações não são ofertas de venda, mas sim solicitações de compra de vulnerabilidades específicas. Segundo os analistas, isso demonstra a alta demanda por ferramentas prontas para ataques. Os principais alvos de ataques que exploram vulnerabilidades são serviços de internet (36%) e software corporativo (33%). Este último representa um valor especial para os criminosos: a invasão de um sistema interno lhes dá acesso à infraestrutura, informações sobre funcionários e clientes, além de ajudar a escalar o ataque. Os especialistas alertam que, no final, os danos para os negócios podem ser medidos em dezenas e centenas de milhões de reais. Além da eliminação das consequências, as empresas precisam arcar com os custos de recuperação da infraestrutura e consultoria externa, perder receita devido a interrupções e lidar com danos à reputação. "Os custos de proteção proativa, como regra, são mais previsíveis e muitas vezes significativamente menores em comparação com os danos de um ciberataque bem-sucedido", observa Makar Kumaykin, analista júnior do grupo de análise internacional da Positive Technologies.
