EUA têm queda de roubo de dados em 2022, mas cenário ainda é preocupante

Especializada em apoiar vítimas de roubos de identidade, a Identity Theft Resource Center (ITRC) apresentou insights interessantes em seu recente relatório anual. Do ponto de vista positivo, os EUA observaram uma queda no número de dados comprometidos por ataques cibernéticos em 2022. Em contrapartida, a falta de transparência das empresas afetadas parece elevar os riscos para o futuro.

Menos dados comprometidos nos EUA…

Segundo o relatório, os casos de dados comprometidos nos EUA no ano passado se mantiveram relativamente estáveis. Falando de números, foram 1.802 ocorrências ao todo, oriundas de violações (1.774 casos), exposições (18) e compromissos desconhecidos (10).

O fato de as ocorrências terem caído em relação a 2021 seria um motivo para comemorar, certo? Não necessariamente. Até porque a queda foi mínima: restaram apenas 60 eventos para que 2022 equiparasse ao ano anterior e alcançasse o maior número de comprometimento de dados já visto.

Além disso, mais vítimas foram impactadas no último ano. Em 2021, os 1.862 casos afetaram cerca de 298 milhões ao todo. Mas em 2022, com 60 ocorrências a menos, 422 milhões de vítimas foram afetadas por algum tipo de roubo de identidade.

Imagem: divulgação/ITRC

E muito disso deu-se por grandes ataques divulgados na mídia. O maior deles, envolvendo o Twitter, afetou aproximadamente 221 milhões de usuários da rede. Outros cases que também ganharam relevância foram os comprometimentos sofridos por Neopets (69 milhões de vítimas), AT&T (22 milhões de vítimas) e Cash App Investing (8,2 milhões de vítimas).

… mas menos detalhes compartilhados sobre os casos

Não bastasse o problemão visto no relatório da ITRC, o cenário torna-se ainda pior à medida que as empresas adicionam menos detalhes sobre os ataques sofridos, o que dificulta maior amplitude das investigações e da educação de cibersegurança das vítimas.

E um bom exemplo disso é que 66% das violações não incluíram detalhes sobre o ataque e sobre as vítimas. Das 1.802 ocorrências de comprometimento de dados foram apenas 1.045 reportes detalhados (cobertura de 58%) e 605 reportes com contagem de vítimas (cobertura de 34%).

Parte disso é explicado pelos tribunais dos EUA, que exigem apenas danos reais — sem levar em conta os danos potenciais — para registrar uma queixa. E ao que parece, as companhias afetadas estão inclinadas a divulgar menos informações dos ataques devido ao medo de revelar fatos que podem ser usadas contra elas em ações judiciais.

E o grande problema é que a ausência de detalhes dificulta investigações. Especialistas de cibersegurança seguem em busca de entender os casos e ajudar as vítimas. Mas com cada vez menos informações, a situação fica mais complicada. Consequentemente, os riscos de uma reincidência aumentam.