As TPE, PME e ETI representam agora 48 % das vítimas de ransomware identificadas pela ANSSI, contra 37 % no ano anterior. Esse progresso coloca essas estruturas na linha de frente, muito à frente das coletividades ou dos estabelecimentos de saúde. Três tipos de falhas web aparecem na maioria dos incidentes documentados, e sua correção não exige um orçamento desmesurado.
Falhas web das PME: panorama numérico dos vetores de ataque
Os relatórios públicos permitem hierarquizar as vulnerabilidades realmente exploradas. A tabela abaixo sintetiza as três falhas web mais frequentes nos incidentes que afetam as pequenas e médias empresas, cruzando os dados disponíveis.
| Tipo de falha | Vetor comum | Consequência típica | Nível de correção |
|---|---|---|---|
| CMS e componentes de terceiros não corrigidos | Plugin WordPress obsoleto, biblioteca JavaScript vulnerável | Injeção de código, redirecionamento para site malicioso | Atualização regular (gratuita) |
| Portal de acesso exposto sem MFA | Interface de administração acessível, VPN sem autenticação dupla | Comprometimento de conta, movimento lateral | Ativação de MFA (baixo custo) |
| Comunicações não criptografadas | Formulários em HTTP, transferências de dados em texto claro | Intercepção de dados de clientes, roubo de credenciais | Certificado TLS (frequentemente gratuito) |
O que se destaca dessa comparação: as falhas mais exploradas são também as menos custosas de corrigir. O descompasso entre a simplicidade dos corretores e a gravidade das consequências explica por que os atacantes continuam a mirar as PME.
Uma análise detalhada da proteção web das PME segundo Viruslab confirma que essas três categorias concentram a esmagadora maioria dos incidentes observados em sites profissionais de pequeno porte.
CMS não atualizados: a falha web que as PME corrigem tarde demais
O catálogo CISA KEV, que lista as vulnerabilidades ativamente exploradas em condições reais, inclui regularmente falhas relacionadas a CMS ou suas extensões. Um plugin WordPress abandonado por seu desenvolvedor, uma versão do Joomla que não recebeu correção há vários meses: essas situações criam portas de entrada permanentes.
O problema não se limita ao CMS em si. As bibliotecas JavaScript integradas nos temas ou módulos de terceiros acumulam vulnerabilidades que passam despercebidas. Uma PME que gerencia seu site sem um prestador técnico dedicado geralmente não monitora essas dependências.
Priorizar as correções de acordo com o risco real
Nem todas as atualizações têm o mesmo valor. As correções relacionadas a falhas já exploradas em condições reais são prioritárias em relação às atualizações de conforto ou de interface. As listas de vulnerabilidades ativamente exploradas, como a mantida pela CISA, permitem filtrar.
- Verificar toda semana se as extensões instaladas estão nas alertas de segurança publicadas pelo editor do CMS
- Remover qualquer plugin inativo ou não mantido há mais de seis meses, mesmo que pareça funcional
- Automatizar as atualizações menores de segurança para reduzir o tempo entre a publicação do patch e a aplicação
Essa disciplina de atualização representa a primeira linha de defesa. Ela não exige investimento em software nem competência avançada, mas uma regularidade que muitas PME ainda não incorporaram em sua rotina.
Portais de administração expostos: acesso VPN e interfaces sem autenticação dupla
Um painel de administração WordPress acessível de qualquer endereço IP, uma VPN corporativa protegida apenas por uma senha simples: essas configurações ainda são frequentes. A ausência de MFA nos acessos remotos é o principal fator de comprometimento de conta em empresas com menos de 250 funcionários.
Os atacantes não precisam de técnicas sofisticadas. O credential stuffing (reutilização de credenciais roubadas em outros serviços) é suficiente quando nenhum segundo fator de autenticação está ativado. Um colaborador que usa a mesma senha para seu e-mail pessoal e a interface de administração do site expõe toda a infraestrutura.
Reduzir a superfície de ataque dos acessos remotos
Restringir o acesso ao painel de administração por endereço IP, quando possível, elimina a maioria das tentativas automatizadas. Para as VPNs, a ativação do MFA divide o risco de comprometimento de forma significativa.
Por outro lado, a simples implementação do MFA não cobre tudo. Uma conta de administrador esquecida, criada durante a instalação inicial e nunca removida, continua sendo um alvo. Auditar a lista de contas privilegiadas pelo menos uma vez por trimestre faz parte das ações que não custam nada e reduzem o perímetro explorável.
Diretiva NIS 2 e obrigações de cibersegurança para PME subcontratadas
A transposição da diretiva NIS 2 para o direito francês modifica o quadro regulatório para muitas PME, incluindo aquelas que não se consideram alvos diretos. O efeito cascata da NIS 2 atinge os subcontratados e fornecedores das entidades reguladas, que deverão demonstrar um nível mínimo de segurança.
Para uma PME subcontratada de um operador classificado como “entidade importante”, isso significa concretamente que as três falhas descritas acima (CMS não corrigido, acesso sem MFA, comunicações não criptografadas) podem se tornar motivos de não conformidade contratual. O risco não é mais apenas técnico: ele se torna jurídico e comercial.
Notificações de incidentes e responsabilidade dos dirigentes
A NIS 2 introduz prazos de notificação em caso de incidente significativo. Os dirigentes das entidades afetadas têm uma responsabilidade direta sobre a conformidade. Para as PME, essa obrigação transforma a cibersegurança de um assunto técnico delegado à informática em um assunto de governança.
- Mapear os contratos com os contratantes sujeitos à NIS 2 para antecipar as exigências de segurança que eles repassarão
- Documentar as medidas de proteção em vigor (atualizações, MFA, criptografia) para poder responder a uma auditoria de cliente
- Prever um procedimento interno de notificação de incidentes, mesmo que simplificado, para respeitar os prazos regulatórios
A crescente participação das TPE e PME entre as vítimas de ransomware e a entrada em vigor gradual da NIS 2 convergem para a mesma constatação. As três falhas mais exploradas são conhecidas, documentadas e corrigíveis a baixo custo. O que falta com mais frequência não é o orçamento, mas a regularidade na aplicação das correções e a consideração do assunto em nível de direção.
