Os cibercriminosos e outros agentes do mal têm aos seu dispor ferramentas e financiamento para criar técnicas de ataque cada vez mais sofisticadas. A cibersegurança tem de ser reforçada. Esta é uma das principais conclusões da 33.ª edição da conferência anual de cibersegurança RSA, nos EUA.

A conferência RSA centrou-se em temas como a exploração da próxima evolução da IA, a ética e os limites em torno desta tecnologia, além da segurança e privacidade por defeito (by default). O objetivo do encontro de cibersegurança foi indicar caminhos às empresas para ficarem em conformidade com os padrões de segurança do National Institute of Standards and Technology’s Cybersecurity Framework 2.0 (NIST CSF 2.0) norte-americano e eliminar passwords.

Uma das organizações presentes na conferência foi o SANS Technology Institute, que alerta para o aumento dos ataque, vulnerabilidades, volatilidade e necessidades de segurança. As preocupações da organização centram-se no aumento da inteligência artificial generativa (IAgen), no lançamento de ciberestratégias governamentais ou na aplicação prática de arquiteturas de confiança zero entre outros. Ed Skoudis, presidente do SANS, sai rejuvenescido da conferência e “pronto para enfrentar novos desafios em matéria de cibersegurança com ideias frescas e um espírito renovado”.

Num artigo da Infosecurity Magazine são destacadas três novas preocupações sobre as ciberameaças: a crescente expansão da superfície de ataques, os ataques baseados em identidade e as novas utilizações de Inteligência Artificial.

Sobre a expansão da superfície de ataque, as equipas de cibersegurança têm tido a tendência para proteger os endpoints, mas é importante não descurar toda a infraestrutura tecnológica que pode ser alvo de ataque.  Mike Aiello, chief technology officer at Secureworks, disse à revista que a “superfície de ataque é mais do que os endpoints, a superfície de ataque é toda a sua infraestrutura, pelo que é importante atualizar e gerir também a sua infraestrutura de rede”.

Johannes Ullrich, diretor de investigação da SANA Technology Institute College, alerta para outra fragilidade: o grande número de sistemas e softwares utilizados nas organizações que já não são suportados e para os quais há dificuldade em encontrar programadores que dominem as linguagens mais antigas. A recomendação, disse à Infosecurity Magazine, é a substituição gradual dos sistemas mais antigos ou descontinuados.

Também a inteligência artificial generativa está a dificultar à vida aos profissionais da cibersegurança. A verificação da identidade é um desafio, numa altura em que através da IA se conseguem criar vozes e áudios indistinguíveis dos verdadeiros, dificultando a verificação da identidade online. A verificação “CAPTCHA” começa a ser ultrapassada por soluções criadas por cibercriminosos.  Ulrich acredita que a solução assenta numa identidade baseada em risco, evitando que as verificações sejam demasiado intrusivas. A solução é utilizar a ferramenta dos cibercriminosos e ensinar a IA a identificar e assinalar comportamentos fora do padrão.

Esta opinião está em linha com as conclusões do estudo ID IQ da RSA, 2023, apresentado durante a conferência, que revela que nove em cada 10 respondentes acredita que a IA poderá ter um papel significativo na melhoria da segurança de identificação.

Sextortion, privacidade e IA generativa

A sextortion (extorção com base em imagens sexuais) é outro problema, um flagelo “fora de controlo”, disse Heather Mahalik Barnhart, líder do currículo de Forense Digital e Resposta a Incidentes (DFIR) do SANS Institute. Esta fraude consiste em convencer alguém a enviar uma fotografia sem roupa, para depois lhe ser extorquido dinheiro em troca da não divulgação da imagem. Esta fraude envolve o aliciamento online e utiliza frequentemente tecnologia deepfake. A situação é ainda mais complexa, pois está a ser utilizada inteligência artificial para criar imagens íntimas falsas que ao ser divulgadas cumpriram a missão de causar danos, por vezes insanáveis, à vítima.

É um fenómeno que já está a afetar os portugueses. Não comunicar com estranhos online é uma das soluções para evitar a criação de imagens íntimas de adultos e também de crianças.

Finalmente, uma terceira tendência é a utilização de IA generativa para criar malware. Aparentemente agora grupos de ameaças sofisticados estão a utilizar esta tática em campanhas. Daniel Blackford, gestor sénior no departamento de investigação de ameaças da Proofpoint, recorda uma campanha perpetrada pelo grupo TA547 e observada pela empresa em abril de 2024. Este ataque envolveu um script PowerShell para entregar o payload final que foi “muito provavelmente” criado por um modelo de linguagem grande (LLM), de que é exemplo o ChatGPT. Um dos indicadores foi a documentação de quase todas as linhas de código, algo que os programadores não se dão ao trabalho de fazer.

A 33.ª edição da RSA Conference, conferência e exposição de cibersegurança, decorreu no Moscone Center, em São Francisco, EUA entre 6 e 10 de maio. O encontro deste ano atraiu mais de 41.000 participantes, 650 oradores, 600 expositores e 400 membros da comunicação social. Ao longo da semana, os participantes estabeleceram contactos na exposição e participaram em apresentações, sessões de acompanhamento, tutoriais, seminários e networking.

A RSA Conference 2025 está marcada para 28 de abril a 1 de março, no Moscone Center, em São Francisco.