Emma Zaballos, Gerente de Marketing de Produto da CyCognito – Série de Entrevistas

Emma Zaballos é uma pesquisadora de ameaças ávida que é apaixonada por entender e combater ameaças de cibercrime. Emma gosta de monitorar mercados da dark web, criar perfis de gangues de ransomware e usar inteligência para entender o cibercrime.

CyCognito, fundada por veteranos de agências de inteligência nacional, se especializa em segurança cibernética identificando possíveis vetores de ataque de uma perspectiva externa. A empresa fornece às organizações insights sobre como os atacantes podem perceber seus sistemas, destacando vulnerabilidades, pontos de entrada potenciais e ativos em risco. Com sede em Palo Alto, a CyCognito atende grandes empresas e empresas da Fortune 500, incluindo Colgate-Palmolive (CL ) e Tesco.

Você tem um background diversificado em pesquisa de segurança cibernética, análise de ameaças e marketing de produto. O que primeiro despertou seu interesse nesse campo, e como sua carreira evoluiu para o gerenciamento de exposição?

Logo após a faculdade, trabalhei como analista em um processo de litígio internacional que envolvia rastrear uma rede de atores nos EUA (e internacionalmente). Foi um caso super interessante e, quando comecei a procurar pelo próximo desafio, encontrei um emprego em uma startup de monitoramento da dark web (Terbium Labs, agora parte da Deloitte) onde basicamente me apresentei como “hey, não sei nada sobre a dark web ou segurança cibernética, mas tenho experiência em rastrear redes e comportamento e acho que posso aprender o resto.” E deu certo! Continuei trabalhando em segurança cibernética como especialista em matéria com foco em atores ameaçadores até 2022, quando me juntei à CyCognito em meu primeiro papel de marketing de produto. É ótimo continuar trabalhando em segurança cibernética, que é uma indústria da qual sou super apaixonada, enquanto experimento um novo papel. Adoro que consigo atender ao meu amor por narrativas baseadas em dados escrevendo conteúdo como o relatório anual da CyCognito sobre o Estado do Gerenciamento de Exposição Externa.

Você menciona que nunca terá um Alexa. O que a preocupa mais sobre dispositivos de smart home, e o que a pessoa comum deve saber sobre os riscos?

Se você passar algum tempo olhando para a dark web, verá que os cibercriminosos têm um apetite imenso por dados — incluindo dados de consumidores coletados por empresas. Seus dados são um recurso valioso e é um recurso que muitas empresas não protegem adequadamente. Você, como consumidor, tem opções limitadas para controlar como seus dados são coletados, armazenados e gerenciados, mas é importante estar o mais informado possível e controlar o que pode. Isso pode significar se tornar muito bom em ajustar configurações em aplicativos ou dispositivos ou simplesmente abrir mão de alguns produtos.

Por necessidade, se você tiver um assistente inteligente habilitado no seu telefone ou um dispositivo de smart home que exige um comando de voz, o microfone precisa estar sempre ligado para captar você pedindo algo. Mesmo que eu confie que a empresa esteja protegendo essas gravações e apagando-as, simplesmente não gosto da ideia de ter um microfone sempre ligado em minha casa.

Há serviços e produtos de conveniência que coletam meus dados e eu os uso mesmo assim, porque de alguma forma vale a pena para mim. No entanto, produtos de smart home são algo com o qual eu pessoalmente tracei uma linha — estou disposto a ir fisicamente e ajustar as luzes ou fazer uma lista de compras ou qualquer outra coisa, em vez de pedir ao Alexa para fazer. A Internet das Coisas oferece alguns benefícios incríveis ao consumidor, mas também foi um divisor de águas para os cibercriminosos.

Você trabalhou em ambos os setores federal e privado. Como os desafios de segurança cibernética diferem entre esses ambientes?

Quando trabalhei em contrato para o Departamento de Saúde e Serviços Humanos em seu Centro de Coordenação de Segurança Cibernética do Setor de Saúde, era muito mais focado em entender padrões e motivações por trás das ações dos cibercriminosos — entender por que eles miravam recursos de saúde e que tipo de recomendações poderíamos fazer para endurecer essas defesas. Há mais espaço para se aprofundar em um projeto no setor público e há alguns servidores públicos incríveis fazendo trabalho em segurança cibernética nos governos federal e estadual. Em meus papéis de startup, também tive a oportunidade de fazer pesquisas interessantes, mas é um ritmo mais acelerado e mais direcionado a questões de escopo mais apertado. Uma coisa que eu gosto nas startups é que você pode trazer um pouco mais da sua própria voz para a pesquisa — teria sido mais difícil apresentar algo como minha palestra “Make Me Your Dark Web Personal Shopper” (DerbyCon 2019) em nome do HHS.

Em sua artigo recente, você destacou o rápido crescimento da dark web. Quais fatores estão impulsionando essa expansão, e quais tendências você vê para os próximos anos?

A dark web está sempre morta, sempre morrendo e sempre ressurgindo. Infelizmente, há um mercado consistente para dados roubados, malware, cibercrime como serviço e todos os outros tipos de mercadorias associadas à dark web, o que significa que, mesmo que os destaques da dark web como Silk Road, AlphaBay e Agora tenham desaparecido, novos mercados podem surgir para ocupar seu lugar. A instabilidade política e financeira também impulsiona as pessoas para o cibercrime.

É um lugar-comum, mas a IA é uma preocupação aqui – torna mais fácil para um criminoso não sofisticado melhorar suas habilidades, talvez usando ferramentas de codificação impulsionadas por IA ou por meio de ferramentas de IA geradoras que podem gerar conteúdo de phishing convincente.

Outro fator que impulsiona o renascimento da dark web é um mercado de criptomoedas forte. A criptomoedas é a vida da cibercrime — o mercado moderno de ransomware basicamente existe porque da criptomoedas — e um governo criptomoedas amigável sob a segunda administração Trump provavelmente exacerbará o crime da dark web. Os cortes da nova administração em programas federais de cibersegurança e aplicação da lei, incluindo o CISA, também são um divisor de águas para os cibercriminosos, porque os EUA historicamente lideraram ações de aplicação da lei contra grandes mercados da dark web.

Quais são os maiores mal-entendidos sobre a dark web que as empresas e os indivíduos devem estar cientes?

O maior mal-entendido que vejo é que a dark web é essa entidade massiva e misteriosa que é muito complexa para entender ou se defender. Na realidade, ela compõe menos de 0,01% da internet — mas esse tamanho pequeno mascara seu verdadeiro impacto na segurança empresarial. Outro mito comum é que a dark web é impenetrável ou completamente anônima. Embora ela exija ferramentas especializadas como o navegador Tor e domínios .onion, monitoramos esses espaços todos os dias. Devido à publicidade por trás da derrubada do mercado Silk Road, as organizações muitas vezes pensam que a dark web é apenas para vender bens ilegais, como drogas ou armas, e não percebem que também é um mercado massivo e sofisticado para ativos e dados corporativos. A realidade é que a dark web é algo que não é apenas possível, mas essencial para as organizações entenderem, porque tem o potencial de impactar diretamente a postura de segurança de cada empresa.

Você mencionou que as organizações devem “assumir exposição.” Quais são as formas mais negligenciadas pelas quais as empresas expõem seus dados online sem perceber?

O que eu acho fascinante é quantas empresas ainda não percebem a amplitude de sua exposição e as maneiras pelas quais podem ser expostas por meio da dark web. Regularmente vemos credenciais vazadas circulando em mercados da dark web — não apenas detalhes de login básicos, mas contas de administrador e credenciais de VPN que poderiam fornecer acesso completo à infraestrutura crítica. Uma área particularmente negligenciada é a dos dispositivos IoT. Esses dispositivos conectados aparentemente inofensivos podem ser comprometidos e vendidos para criar botnets ou lançar ataques. Os ambientes de TI modernos se tornaram incrivelmente complexos, criando o que chamamos de “superfície de ataque estendida” que vai muito além do que a maioria das organizações imagina que tem. Estamos falando de serviços de nuvem, pontos de acesso de rede e sistemas integrados que muitas empresas nem sequer percebem que estão expostos. A verdade dura é que a maioria das organizações tem muito mais pontos de entrada potenciais do que pensam, então é melhor assumir que há uma exposição lá fora do que confiar que suas defesas atuais sejam perfeitas.

Como os cibercriminosos estão usando a IA para melhorar suas operações na dark web, e como as empresas podem se defender contra ameaças cibernéticas impulsionadas por IA?

O cibercrime não está realmente criando novos tipos de ataques — está acelerando os que já conhecemos. Estamos vendo criminosos usarem a IA para gerar centenas de e-mails de phishing incrivelmente convincentes em minutos, algo que costumava levar dias ou semanas para fazer manualmente. Eles estão desenvolvendo malware adaptativo que pode mudar seu comportamento para evitar detecção e estão usando ferramentas especializadas como WormGPT e FraudGPT que são projetadas especificamente para atividades criminosas. Talvez o mais preocupante seja como eles estão conseguindo comprometer plataformas de IA legítimas — vimos credenciais roubadas de principais fornecedores de IA sendo vendidas e há um esforço crescente para “jailbreak” ferramentas de IA mainstream, removendo suas limitações de segurança.

Mas a boa notícia é que não estamos indefesos. Organizações visionárias estão implantando sistemas de IA que trabalham 24 horas por dia para monitorar fóruns e mercados da dark web. Essas ferramentas podem analisar milhões de posts em minutos, entender linguagem codificada de criminosos e identificar padrões que analistas humanos podem perder. Estamos usando a IA para digitalizar credenciais roubadas, monitorar pontos de acesso de sistema e fornecer alerta antecipado de possíveis violações. A chave é que nossa IA defensiva pode trabalhar na mesma velocidade e escala que as ferramentas criminosas — é realmente a única maneira de acompanhar as ameaças modernas.

A CyCognito adota uma “perspectiva de atacante” para identificar vulnerabilidades. Pode nos guiar sobre como essa abordagem difere dos métodos de teste de segurança tradicionais?

Nossa abordagem começa com a compreensão de que os ambientes de TI modernos são muito mais complexos do que os modelos de segurança tradicionais supõem. Também não nos baseamos no que as organizações sabem para informar nosso trabalho — quando os atacantes visam uma organização, eles não recebem listas de ativos ou contexto de sua organização alvo, então também vamos sem dados iniciais de nossos clientes. Com base nisso, montamos um mapa da organização e sua superfície de ataque e colocamos todos os seus ativos em contexto nesse mapa.

Mapeamos a superfície de ataque estendida, indo além dos ativos conhecidos para entender o que os atacantes realmente veem e podem explorar. Quando monitoramos mercados da dark web, não estamos apenas coletando dados — estamos entendendo como credenciais vazadas, acesso privilegiado e informações expostas criam caminhos para dentro de uma organização. Ao sobrepor esses riscos da dark web à superfície de ataque existente, fornecemos às equipes de segurança uma visão realista das vulnerabilidades do atacante. Essa perspectiva ajuda a entender não apenas o que pode estar vulnerável, mas o que é realmente explorável.

Como funciona o processo de descoberta impulsionado por IA da CyCognito, e o que o torna mais eficaz do que as soluções convencionais de gerenciamento de superfície de ataque externa (EASM)?

Começamos com uma compreensão fundamental de que a superfície de ataque de cada organização é significativamente maior do que as ferramentas tradicionais supõem. Nosso processo de descoberta impulsionado por IA começa mapeando o que chamamos de “superfície de ataque estendida” — um conceito que vai muito além das soluções de EASM convencionais que apenas olham para ativos conhecidos.

Nosso processo é abrangente e proativo. Continuamente digitalizamos quatro tipos críticos de exposição: credenciais vazadas, incluindo senhas hash que os atacantes podem decifrar; contas e acesso privilegiado sendo vendidos em mercados da dark web; vazamentos de informações baseadas em IP que poderiam revelar vulnerabilidades de rede; e dados sensíveis expostos por meio de violações anteriores. Mas encontrar essas exposições é apenas o primeiro passo.

Em seguida, mapeamos tudo para o que chamamos de gráfico de superfície de ataque. É aqui que o contexto se torna tudo. Em vez de apenas entregar uma lista de vulnerabilidades como as soluções de EASM convencionais fazem, mostramos exatamente como as exposições da dark web se cruzam com a infraestrutura existente. Isso permite que as equipes de segurança vejam não apenas onde seus dados terminaram, mas exatamente onde precisam focar seus esforços de segurança em seguida.

Pense nisso como construir um mapa estratégico em vez de apenas executar uma verificação de segurança. Ao sobrepor os riscos da dark web à superfície de ataque real, fornecemos às equipes de segurança uma visão clara e ação de seus principais lacunas de segurança. Essa compreensão contextual é essencial para priorizar esforços de remediação de forma eficaz e garantir uma resposta rápida e direcionada a ameaças emergentes.

A priorização de riscos é um grande desafio para as equipes de segurança. Como a CyCognito diferencia entre vulnerabilidades críticas e não críticas?

Nós priorizamos as vulnerabilidades entendendo seu contexto dentro do ecossistema de segurança de uma organização. Não basta saber que uma credencial foi exposta ou que um ponto de acesso é vulnerável — precisamos entender o que essa exposição significa em termos de impacto potencial, e esse impacto pode variar dependendo do contexto de negócios do ativo. Olhamos particularmente para credenciais de acesso privilegiado, contas administrativas e pontos de acesso de VPN, pois esses frequentemente representam o maior risco para movimento lateral dentro dos sistemas. Ao mapear essas exposições para nosso gráfico de superfície de ataque, podemos mostrar às equipes de segurança quais vulnerabilidades representam o maior risco para seus ativos mais críticos. Isso ajuda a focar seus recursos limitados onde terão o maior impacto.

Como você vê a segurança cibernética evoluindo nos próximos cinco anos, e qual papel a IA desempenhará tanto na ofensiva quanto na defensiva?

Estamos no meio de uma mudança fundamental no cenário de segurança cibernética, impulsionada em grande parte pela IA. No lado ofensivo, já estamos vendo a IA acelerar a escala e a sofisticação dos ataques de maneiras que seriam impossíveis há apenas alguns anos. Novas ferramentas de IA projetadas especificamente para o cibercrime, como WormGPT e FraudGPT, estão surgindo rapidamente, e estamos vendo até mesmo plataformas de IA legítimas sendo comprometidas ou “jailbreakadas” para fins maliciosos.

No lado defensivo, a IA não é mais apenas uma vantagem — está se tornando uma necessidade. A velocidade e a escala dos ataques modernos significam que a análise humana tradicional simplesmente não pode acompanhar. A IA é essencial para monitorar ameaças em escala, analisar atividade da dark web e fornecer as capacidades de resposta rápida que a segurança moderna exige. Mas quero enfatizar que a tecnologia sozinha não é a resposta. As organizações que serão mais bem-sucedidas em navegar por esse novo cenário são aquelas que combinam capacidades de IA avançadas com estratégias de segurança proativas e uma compreensão profunda de sua superfície de ataque estendida. Os próximos cinco anos serão sobre encontrar esse equilíbrio entre ferramentas de IA poderosas e planejamento de segurança inteligente e estratégico.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar CyCognito.