Ciberataques a empresas disparam 43% em 2020

A proporção das empresas alvo de ataques por piratas informáticos aumentou de 38% em 2019 para 43% no ano passado, de acordo com o relatório “Hiscox Cyber Readiness 2021”, com mais de um quarto (28%) a sofrer cinco ataques ou mais. Estes ataques impactam profundamente as empresas, com ataques a uma em cada seis (17%) que, em muitos casos, ameaça o futuro financeiro das mesmas.

Estas são algumas das conclusões do estudo que abrangeu 6.042 empresas de oito países, levado a cabo pela seguradora Hiscox, representada em Portugal pela Innovarisk. De forma encorajadora, o relatório mostra que as empresas estão a responder ao desafio cibernético – o gasto médio por empresa em segurança cibernética mais do que duplicou nos últimos dois anos.

Ainda assim, outro relatório sobre maturidade digital em cibersegurança, elaborado pela Minsait e SIA, revela que 90% das empresas não têm profissionais especializados em cibersegurança, 82% não mantém atualizados os registos de ativos digitais a proteger, 73% não tem implementada uma cultura para os colaboradores e somente 55% conta com um centro de operações de cibersegurança para detetar e responder a um ciberataque.

No seu quinto ano, o Hiscox Cyber Readiness Report analisou uma amostra representativa de organizações nos Estados Unidos, Reino Unido, Bélgica, França, Alemanha, Espanha, Holanda e Irlanda, em que grande parte das empresas analisadas está representada em Portugal.

A peça central do relatório é um novo modelo de preparação cibernética que avalia os pontos fortes das empresas em seis áreas-chave de segurança cibernética que inclui pessoas, processos e tecnologia. Foi desenvolvido para ser interativo, permitindo que as empresas verifiquem e comparem a sua maturidade cibernética com a dos seus pares, aproveitem as melhores práticas de cada área e desenvolvam a resiliência cibernética.

A pontuação dos inquiridos em relação ao modelo de preparação cibernética destacou o número de empresas sem verdadeira resiliência cibernética. Uma em cada cinco (20%) qualificou-se como ‘especialista’, mais de um quarto (27%) foi classificada como ‘principiante’.

O relatório deste ano é notável pela variação e imprevisibilidade dos custos dos ataques cibernéticos. Para as microempresas com menos de dez funcionários, o custo médio foi de oito mil dólares (6.652 euros). No entanto, 5% das empresas atacadas sofreram custos na ordem dos 300 mil dólares (249 mil euros). Para as empresas médias, grandes e sociedades anónimas/comerciais a variação foi semelhante.

Uma em cada seis empresas atacadas (16%) foi alvo de ameaça de extorsão e mais da metade (58%) pagou. Nos Estados Unidos, a proporção que pagou o resgate foi de 71%. Os custos de recuperação de um ataque de ameaça de extorsão eram geralmente quase tão altos quanto qualquer resgate pago (representando uma média de 45% do custo geral), segundo o relatório. Emails de phishing foram a principal forma de extorsão, visando sobretudo as pequenas empresas.

As empresas que melhor se qualificaram como ‘especialistas’ no modelo de preparação cibernética da Hiscox sofreram menos ataques de ameaças de extorsão, tiveram menos probabilidade de pagar e recuperaram mais rapidamente. Os EUA têm a maior proporção de ‘especialistas’ cibernéticos (25%) e um dos menores custos médios de ataques. O Reino Unido ficou em segundo lugar, com 23% das empresas classificadas como ‘especialistas’. As empresas do Reino Unido tiveram menor probabilidade de sofrerem um ataque cibernético (apenas 36%) e maior probabilidade de os defender com sucesso.

Uma empresa média dedica agora mais de um quinto (21%) do seu orçamento de TI à segurança cibernética – um aumento de 63% num ano. O gasto médio por empresa com a cibersegurança mais do que duplicou em dois anos – de 1,45 milhão para 3,25 milhões de dólares (1,2 para 2,7 milhões de euros). As empresas alemãs são as que mais gastam, com uma média de 5,5 milhões de dólares (4,5 milhões de euros).

Gareth Wharton, presidente executivo da Hiscox Cyber, afirma que “uma das grandes conclusões deste relatório é a preocupante variação de impactos financeiros que os ataques cibernéticos podem ter. O risco da inação é que o próximo ataque seja o suficiente para afundar o negócio”. “O cyber é um problema complexo, mas isso não significa que seja ingerível. Com uma boa gestão de risco e um seguro cibernético adequado, as empresas podem conter o impacto de um ataque e limitar os danos”, alerta.