No contexto em que a proteção contra ciberataques se tornou uma das prioridades das empresas na área de Tecnologia da Informação (TI), o cross-site scripting merece atenção especial, principalmente por focar, na maior parte das vezes, no usuário final.
Também conhecida como XSS, essa ameaça cibernética consiste em episódios em que scripts maliciosos são injetados em endereços eletrônicos que são, à primeira vista, confiáveis. A partir daí, os criminosos utilizam uma aplicação web que envia um código malicioso destinado ao usuário que, sem saber, o executa.
Ou seja, na prática, os ataques, muitas vezes, se aproveitam da vulnerabilidade de um site para instalar scripts que executam ações como cópia de cookies e, até mesmo, roubo de dados de acesso do navegador do usuário, colocando em risco a reputação da empresa, que permitiu essa vulnerabilidade. Leia também:
- Cenário atual da cibersegurança
- O que é cross-site scripting
- Por que XSS é uma ameaça para as empresas
- Medidas de proteção aos ataques XSS
- Como garantir a cibersegurança do negócio
Cenário atual da cibersegurança
O crescimento do trabalho remoto e o uso cada vez mais intenso de ferramentas digitais fazem com que a proteção digital se torne prioridade para pessoas físicas e empresas. De acordo com a Gartner, atualmente, 60% dos profissionais cumprem suas jornadas de forma remota..
A mudança no modelo de trabalho, conjugada com o incremento do uso de soluções, como nuvem pública, cadeia de fornecimento integrada e sistemas que unem o digital ao físico, descortinam uma nova gama de superfícies potenciais aos ataques virtuais.
Nesse sentido, é essencial ter atenção especial a possíveis vulnerabilidades. Dentre os cuidados necessários, usar ferramentas de colaboração confiáveis, como o Microsoft 365, além de ter máquinas atualizadas e aplicativos de proteção, incluindo antivírus, são ações que não podem ficar de fora do radar das empresas.
O investimento em cibersegurança não é importante apenas no que diz respeito à proteção dos clientes e funcionários. O impacto de um vazamento de dados é significativo no caixa das organizações. Crimes cibernéticos custam US$ 25 dólares por minuto, de acordo com informações do RiskIQ, divulgado em compilado da Fortinet, em 2021.
O que é cross-site scripting
Segundo o Relatório de Investigação de Violação de Dados 2021 (DBIR), realizado pela Verizon, 36% dos vazamentos envolvem phishing, que consiste na tentativa de roubo de informações pessoais. Ainda de acordo com o mesmo relatório, 10% dos incidentes de vazamentos envolvem ransomware, modalidade em que os dados são criptografados e, muitas vezes, há pedido de resgate por parte dos criminosos.
Esse tipo de furto também é uma característica do cross-site scripting. Nesses ataques, cibercriminosos aproveitam vulnerabilidades de páginas confiáveis para injetar códigos maliciosos. A partir daí, o hacker pode usar XSS, com o objetivo de enviar scripts perigosos para o usuário final da página que, por sua vez, não tem como saber que ele é malicioso. Afinal, veio de uma fonte genuína.
Após executar o código, o usuário final dá acesso a seus cookies, tokens e diversas outras informações sensíveis gravadas em seu browser. Os scripts maliciosos podem, até mesmo, alterar o conteúdo HTML da página invadida.
Além disso, os criminosos podem usar XSS para distribuir malwares e roubar credenciais do usuário. Uma das principais características desse tipo de ataque é que, em geral, o alvo não é a página de uma empresa e, sim, seu usuário final. De qualquer forma, ao ter vulnerabilidades dessa grandeza, os negócios também podem comprometer sua reputação, pois permitiram o vazamento de dados de clientes.
Tipos de ataque XSS
Há três tipos de ataque XSS conhecidos: persistente, ou armazenado; não persistente, ou refletido, e baseado em DOM. Saiba mais sobre cada um deles e seus perigos.
Cross-site scripting persistente, ou armazenado
Esse ataque XSS caracteriza-se pelo fato de o script injetado pelos hackers ficar alojado permanentemente no servidor do site-alvo. É considerado o mais prejudicial. Afinal, basta o usuário navegar em um domínio infectado para executar o script malicioso, não sendo necessário fazer nenhuma ação específica.
Caixas de comentários, perfil de usuário, base de dados e, até mesmo, campos nominais são destinos da página que podem alojar o código malicioso. Em geral, os ataques persistentes exploram vulnerabilidades com a injeção de cargas XSS em páginas com mais audiência. Ou, então, por meio de links divulgados por diferentes fontes, como e-mail, que induzem o usuário final a acessar o site infectado.
Cross-site scripting não persistente, ou refletido
Nesse tipo de ataque XSS, o script malicioso não está alojado no servidor. Ele é entregue para o usuário de diferentes formas, como por meio de um resultado de busca ou, até mesmo, um link enviado por phishing. Quando o usuário clica no link, o script é refletido e executado no navegador da vítima.
O cross-site scripting não persistente é o tipo mais comum dessa categoria de invasão. Exige atenção redobrada por parte dos usuários com relação a links enviados por e-mail e, principalmente, por redes sociais.
Cross-site scripting baseado em DOM
Esse ataque XSS é uma vulnerabilidade que aparece no Document Object Model (DOM), e não no HTML. Ou seja, nesse tipo de cross-site scripting, a carga maliciosa não é enviada ao servidor, mas vem da parte do usuário.
Na prática, o script infectado pode fazer alterações nas propriedades das aplicações web que fazem a execução dessas extensões direto no navegador. Ou seja, não há necessidade de interagir com o servidor do domínio para a investida acontecer. E, como a carga maliciosa não é enviada, é mais difícil detectar a invasão.
Por que o XSS é uma ameaça para empresas
O cross-site scripting é uma ameaça às empresas, sobretudo, por dois pontos. O primeiro é em relação à reputação do negócio, caso dados sensíveis dos clientes sejam vazados por uma vulnerabilidade na página, como pode acontecer no caso de ataque XSS persistente.
Outro perigo para os negócios é relativo ao próprio comportamento dos funcionários na internet. Afinal, ao ser vítima de uma invasão, o colaborador pode colocar em risco informações confidenciais do negócio. Nesse sentido, é essencial redobrar a atenção em relação às boas práticas de cibersegurança, em especial, no contexto de crescimento do trabalho remoto.
De acordo com o DBIR, divulgado pela Verizon, 85% dos vazamentos de dados têm o envolvimento do elemento humano. Nesse sentido, proteger os ativos da empresa passa por investir também na segurança da informação.
Além disso, treinamento de conscientização sobre cibersegurança para os funcionários deve sempre estar no radar. Afinal, os profissionais, principalmente em trabalho remoto, são vulneráveis a toda a sorte de ataques cibernéticos, cross-site scripting, inclusive.
Como evitar o cross-site scripting
A fim de que os ataques XSS sejam bem-sucedidos, o invasor precisa inserir e executar conteúdo malicioso em uma página da web. Nesse sentido, é importante que as empresas garantam que cada variável em um aplicativo web tenha a proteção necessária.
Ou seja, para reduzir a vulnerabilidade, é importante as empresas garantirem que seus endereços estejam protegidos. Para isso, podem fazer, por exemplo, varreduras constantes em busca de possíveis fragilidades de aplicativos da web e, em seguida, repará-las.
É importante, ainda, garantir que site e software de servidor estejam sempre atualizados. Essa é a melhor forma de evitar que invasores explorem vulnerabilidades, causando danos.
Usuários também devem se proteger
Além dos cuidados que proprietários e desenvolvedores de sites devem tomar, é importante que os empresários também orientem seus funcionários em relação a boas práticas de segurança, para, assim, evitarem que sejam vítimas de ataques XSS. Dentre as medidas importantes, estão:
- evitar clicar em links de e-mails ou postagens suspeitas em redes sociais. Muitas vezes, é a forma encontrada pelos criminosos de levar os usuários para páginas infectadas;
- preferir acessar sites por meio da digitação do endereço no navegador, em vez de clicar em links;
- garantir que todos os softwares estejam atualizados, de forma a contar com correções de bugs mais atuais;
- manter apenas os aplicativos que realmente são usados, reduzindo as vulnerabilidades que podem levar a um ataque XSS;
- investir em antivírus para se precaver das mais diversas ameaças cibernéticas, como malwares, ransomware e cross-site scripting.
Tecnologia que garante a cibersegurança da sua empresa
Garantir a proteção da empresa contra ameaças cibernéticas deve ser prioridade e fazer parte da estratégia de negócio. Por mais que seja impossível blindar completamente a empresa e sua estrutura de possíveis ataques, é essencial implementar soluções tecnológicas que garantam a segurança dos dados e das redes corporativas.
Investir em uma rede VPN e filtro web que faça a análise e estabeleça padrões de conexões é uma ação que faz a diferença. Outro ponto importante é educar o usuário final sobre boas práticas de navegação, de forma a evitar que sejam vítimas de cross-site scripting ou outras invasões.
Esse treinamento deve abranger desde ações simples, como a criação de senhas seguras, a outros tópicos mais avançados, como proteção de dados sensíveis e uso responsável de credenciais profissionais.
Em um contexto em que as tecnologias como 5G, machine learning e internet das coisas (IoT) farão cada vez mais parte do dia a dia, é importante tornar o investimento em segurança uma prioridade. Dessa forma, há a proteção não só das informações dos clientes como também da empresa e de seus funcionários.
Frentes importantes em relação à segurança da informação
Para proteger a empresa de ameaças cibernéticas como o cross-site scripting, é essencial investir em frentes importantes em relação à segurança da informação. Ter uma estratégia de gestão de riscos em TI, apostar na digitalização dos processos de negócios e fazer a gestão da infraestrutura permite descobrir potenciais vulnerabilidades.
Por fim, ter uma equipe especializada capaz de lidar com ataques e vazamentos é um passo importante. Dessa forma, é possível identificar esse tipo de ação e, posteriormente, recuperar os dados perdidos, protegendo a reputação do negócio e mantendo seguras as informações dos clientes.
A Vivo Empresas tem amplo portfólio de produtos e serviços, oferecendo soluções digitais exclusivas para empresas que buscam mais segurança no seu dia a dia. Seguro para celulares corporativos, proteção das redes e aplicações contra ameaças online, além de detecção e resposta a riscos cibernéticos fazem parte das soluções oferecidas.
Investir em proteção é a melhor forma de manter a empresa blindada contra ataques cross-site scripting e outros riscos da internet.
Este conteúdo foi do seu interesse? Então, confira também:
- Segurança da informação: um guia completo sobre o assunto
- Entenda por que o threat hunting é urgente nas empresas
- Cibersegurança: ameaças e tendências para estar atento em 2022
Até a próxima!
