Os avisos federais de correção levantam questões sobre a perda de receita devido a interrupções de precaução e as expectativas das seguradoras quando os clientes não conseguem atualizar imediatamente
As empresas dos EUA que respondem a vulnerabilidades críticas do PHP podem enfrentar perda de receitas antes que qualquer violação seja confirmada, cabendo aos seus corretores de seguros estabelecer como as políticas cibernéticas tratam os sistemas colocados offline para evitar um ataque.
A Agência de Segurança Cibernética e de Infraestrutura instou as organizações a corrigir as falhas imediatamente. A Agência de Segurança Nacional também pediu que as empresas identificassem serviços de hardware e software que dependem de versões vulneráveis do PHP e monitorassem de perto as atualizações dos fornecedores.
A NSA enfatizou a manutenção de uma maior conscientização sobre dispositivos e serviços voltados para a Internet nas próximas semanas, à medida que outros fornecedores de software publicam seus próprios patches. Isso estende a resposta além da instalação de uma atualização do próprio PHP.
PHP é uma linguagem de programação amplamente utilizada que oferece suporte a sites e aplicativos online. Os desenvolvedores lançaram correções de emergência em 21 de outubro para duas vulnerabilidades críticas que poderiam permitir que invasores executassem código remotamente sem fazer login.
Posteriormente, a Cloudflare relatou milhões de tentativas de exploração, de acordo com a Reuters. O CEO Matthew Prince disse que a atividade aumentou de milhares de tentativas antes do anúncio público para centenas de milhares duas horas depois.
Paralisações preventivas levantam questões de cobertura
A resposta já interrompeu os serviços no exterior. As empresas bancárias e de transporte no Japão suspenderam alguns serviços de Internet, ilustrando as consequências operacionais que as empresas podem enfrentar ao proteger sistemas vulneráveis. A questão imediata do seguro é como a apólice de um cliente afetado responde quando a administração decide desconectar os sistemas como medida de proteção.
Simon Hughes, diretor comercial da Cowbell, destacou o custo dessas decisões: “As empresas que desligam por precaução, e os corretores que as aconselham, devem verificar agora como a sua política cibernética trata um encerramento voluntário e qual o período de espera aplicável, em vez de descobrirem na fase de reclamação”.
O fornecedor estatal de TI da Finlândia, Valtori, disse que as interrupções foram por precaução e que não tinha conhecimento da exploração ativa das falhas. A restauração dos serviços pode levar dias ou semanas porque os sistemas precisam de testes cuidadosos junto com as atualizações, informou a Reuters.
Também há trabalho envolvido na identificação de quais sistemas estão expostos. O site público de um cliente pode ser apenas uma parte de sua dependência do PHP. Em um alerta de segurança de 21 de outubro, Coalizão disse que o PHP também oferece suporte a ferramentas administrativas usadas para gerenciar infraestruturas críticas de TI, incluindo bancos de dados e backups. Comprometer essas interfaces pode dar aos invasores acesso a credenciais ou controle sobre outros sistemas, alertou a empresa. A exposição mais ampla torna o exercício de inventário relevante para discussões entre corretores, clientes e seus fornecedores de tecnologia. A confirmação de uma atualização de site por si só pode fazer com que outros serviços baseados em PHP exijam atenção.
A Coalition disse que a exposição abrangeu versões PHP atuais e mais antigas. Os sistemas que executam versões que atingiram o fim da vida útil podem ser mais difíceis de remediar, exigindo uma atualização para uma versão suportada ou a confirmação de que um fornecedor forneceu uma correção.
O que as seguradoras esperam quando a correção leva tempo
Daniel Woods, chefe de riscos emergentes da Coalition, abordou como os alertas de vulnerabilidade da seguradora se relacionam com a cobertura.
“Mesmo que a IA acelere a descoberta e exploração de vulnerabilidades, as seguradoras continuarão a trabalhar lado a lado com os clientes para prevenir ataques. A Coligação envia notificações de vulnerabilidade numa base voluntária”, disse Woods.
Leia mais: O seguro cibernético pode sobreviver ao choque do Mythos?
“Não temos uma cláusula na apólice que impeça a cobertura se eles não aplicarem o patch. Na prática, descobrimos que os clientes são muito cooperativos e isso continua com os ataques conduzidos por IA.”
A Coalition disse que enviou um alerta inicial para alguns segurados que executavam versões PHP vulneráveis conhecidas em 20 de outubro. Sua equipe de inteligência de ameaças observou atividades relacionadas à exploração mais de cinco horas antes da correção ser lançada.
Embora a Coalition tenha descrito uma abordagem, os corretores e clientes que analisam a política do seu provedor ainda precisam estabelecer seus termos, juntamente com a questão separada da cobertura para um desligamento preventivo.
Enquanto isso, Hughes exortou as empresas a verificar se há sinais de comprometimento, refletindo a possibilidade de os invasores terem acessado os sistemas antes da instalação das atualizações. “A IA ajudou a encontrar essas falhas, e os invasores têm acesso às mesmas ferramentas. A lacuna entre uma correção ser publicada e ser explorada agora é medida em horas, não em semanas”, disse ele. “É por isso que o monitoramento contínuo da exposição de uma empresa é mais importante do que um questionário anual.”
Woods disse: “A velocidade crescente, no entanto, exige defesas em camadas, como detecção e resposta automáticas para detectar qualquer exploração que não possa ser corrigida a tempo”.
