Empresas dos EUA que respondem às vulnerabilidades críticas do PHP podem sofrer perda de receita antes mesmo de uma violação ser confirmada. Cabe aos seus corretores de seguros estabelecer como as apólices cibernéticas tratam de sistemas desligados para prevenir um ataque.
A Cybersecurity and Infrastructure Security Agency (CISA), agência americana de cibersegurança e infraestrutura, pediu que as organizações apliquem as correções imediatamente. A National Security Agency (NSA), agência de segurança nacional dos EUA, também pediu que as empresas identifiquem hardware e serviços de software que dependam de versões vulneráveis do PHP e acompanhem de perto as atualizações dos fornecedores.
A NSA ressaltou a necessidade de manter atenção redobrada a dispositivos e serviços expostos à internet nas próximas semanas, à medida que outros fornecedores de software publiquem seus próprios patches (correções). Isso amplia a resposta para além da instalação de uma atualização do PHP em si.
O PHP é uma linguagem de programação amplamente usada, que sustenta sites e aplicações online. Os desenvolvedores lançaram correções de emergência em 21 de outubro para duas vulnerabilidades críticas que podem permitir a invasores executar código remotamente, sem precisar de login.
A Cloudflare relatou na sequência milhões de tentativas de exploração, segundo a Reuters. O CEO Matthew Prince disse que a atividade passou de milhares de tentativas antes do anúncio público para centenas de milhares em duas horas depois dele.
Desligamentos preventivos levantam dúvidas de cobertura
A resposta já afetou serviços no exterior. Empresas de bancos e transportes no Japão suspenderam alguns serviços de internet, o que ilustra as consequências operacionais que as companhias podem enfrentar ao proteger sistemas vulneráveis. A questão imediata para o seguro é como reage a apólice de um cliente afetado quando a gestão decide desconectar sistemas como medida de proteção.
Simon Hughes, diretor comercial (chief commercial officer) da Cowbell, destacou o custo dessas decisões: “As empresas que desligam por precaução, e os corretores que as aconselham, devem verificar agora como a apólice cyber trata um desligamento voluntário e qual período de carência se aplica, em vez de descobrir isso na fase de sinistro.”
A Valtori, provedora estatal de TI da Finlândia, afirmou que suas interrupções foram preventivas e que não tinha conhecimento de exploração ativa das falhas. Segundo a Reuters, restabelecer os serviços pode levar dias ou semanas, porque os sistemas precisam de testes cuidadosos junto com as atualizações.
Também há trabalho para identificar quais sistemas estão expostos. O site público de um cliente pode ser apenas uma parte da dependência do PHP. Em alerta de segurança de 21 de outubro, a Coalition disse que o PHP também sustenta ferramentas administrativas usadas para gerenciar infraestrutura crítica de TI, incluindo bancos de dados e backups. Comprometer essas interfaces pode dar aos invasores acesso a credenciais ou controle sobre outros sistemas, alertou a empresa. A exposição mais ampla torna o inventário dos sistemas relevante para as conversas entre corretores, clientes e seus fornecedores de tecnologia. Confirmar apenas a atualização do site pode deixar outros serviços baseados em PHP sem a devida atenção.
A Coalition disse que a exposição abrange versões atuais e antigas do PHP. Sistemas com versões que chegaram ao fim da vida útil podem ser mais difíceis de corrigir, exigindo atualização para uma versão com suporte ou a confirmação de que o fornecedor entregou uma correção.
O que as seguradoras esperam quando a correção demora
Daniel Woods, chefe de riscos emergentes da Coalition, explicou como os alertas de vulnerabilidade da seguradora se relacionam com a cobertura.
“Mesmo que a IA acelere a descoberta e a exploração de vulnerabilidades, as seguradoras continuarão trabalhando lado a lado com os clientes para prevenir ataques. A Coalition envia notificações de vulnerabilidade de forma voluntária”, disse Woods.
“Não temos na apólice uma cláusula que exclua a cobertura se o cliente não aplicar o patch. Na prática, vemos que os clientes são muito cooperativos, e isso continua com os ataques impulsionados por IA.”
A Coalition disse que enviou um alerta inicial a alguns segurados que usavam versões vulneráveis conhecidas do PHP em 20 de outubro. Sua equipe de inteligência de ameaças observou atividade ligada à exploração mais de cinco horas antes de a correção ser lançada.
Embora a Coalition tenha descrito uma abordagem, corretores e clientes que analisam a apólice de seu provedor ainda precisam estabelecer seus termos, além da questão separada da cobertura para um desligamento preventivo.
Enquanto isso, Hughes pediu que as empresas verifiquem sinais de comprometimento, diante da possibilidade de que invasores tenham acessado sistemas antes da instalação das atualizações. “A IA ajudou a encontrar essas falhas, e os invasores têm acesso às mesmas ferramentas. O intervalo entre a publicação de uma correção e sua exploração agora é medido em horas, não em semanas”, afirmou. “Por isso o monitoramento contínuo da exposição de uma empresa importa mais do que um questionário anual.”
Woods disse: “A maior velocidade exige, porém, defesas em camadas, como detecção e resposta automáticas para barrar qualquer exploração que não possa ser corrigida a tempo.”
Com informações de Insurance Business.
Leia mais:
- Grupo Cambiaso Risso chega ao Brasil em joint venture com a Korsa Riscos & Seguros e mira expansão no mercado latino-americano
- Arbol lança cobertura paramétrica contra suspensão de obras de data centers por ordem governamental
- Por que uma boa estratégia não basta: seguradoras precisam operacionalizar o plano antes de aprová-lo
