Os 15 ataques mais comuns em 2009, segundo a Verizon

1. Key­log­ging e spy­ware. For­mas de mal­ware que são escritas especi­fi­ca­mente para, sub-repticiamente, recol­her, obser­var e reg­is­tar as acções das pes­soas nos seus computadores;
2. Back­door ou command/control. Fer­ra­men­tas que per­mitem acesso remoto e/ou con­trolo de com­puta­dores infec­ta­dos, que são desen­hadas para ‘cor­rer’, tam­bém elas, sub-repticiamente;
3. SQL injec­tion. Uma téc­nica de ataque uti­lizada para explo­rar frag­ili­dades na comu­ni­cação entre as pági­nas web, e as bases de dados que con­têm a infor­mação que suporta os sites;
4. Abuso de autor­iza­ções de acesso/privilégios. Abuso delib­er­ado e mali­cioso de recur­sos, aces­sos, ou priv­ilé­gios, con­ce­di­dos a um indi­ví­duo por uma organização;
5. Acesso não-autorizado através de cre­den­ci­ais pre­definidas. Situ­ações em que um ata­cante ganha acesso a um sis­tema (ou dis­pos­i­tivo) pro­te­gido por pass­words stan­dard, bem con­heci­das, que são pre­definidas por omissão;
6. Vio­lação de políti­cas de uti­liza­ção aceitável, entre out­ras. Desre­speito e actu­ação, aci­den­tal ou proposi­tada, em oposição a políti­cas de segu­rança estabelecidas;
7. Acesso não-autorizado através de lis­tas de con­trolo de acesso (ACLs) mal con­fig­u­radas ou fra­cas. Quando as ACLs não são bem definidas, os ata­cantes podem ter acesso a recur­sos e praticar acções que não foram pre­vis­tas nem autor­izadas pelas suas vítimas;
8. Packet snif­fer. Observa e cap­tura a infor­mação em trân­sito numa rede;
9. Acesso não-autorizado através de cre­den­ci­ais cap­turadas. Situ­ações em que um ata­cante ganha acesso a um sis­tema (ou dis­pos­i­tivo) pro­te­gido, uti­lizando cre­den­ci­ais vál­i­das que foram obti­das de forma ilegítima;
10. Engen­haria social. Téc­ni­cas de manip­u­lação através das quais um ata­cante cria um cenário para per­suadir, manip­u­lar, e con­vencer uma vítima a realizar uma acção ou a divul­gar informação;
11. Trans­posição dos con­tro­los de aut­en­ti­cação. Acesso não-autorizado a um sis­tema, transpondo os mecan­is­mos nor­mais de autenticação;
12. Roubo. Roubo, no sen­tido físico, de um com­puta­dor, disco, ou outro activo do sis­tema de informação;
13. Ataque de ‘força bruta’. Um processo autom­a­ti­zado que visa tes­tar múlti­plas com­bi­nações (nome de uti­lizador, pass­word) até acer­tar nas que são correctas;
14. RAM scraper. Uma forma recente de mal­ware desen­hada para cap­turar dados na memória de um sis­tema; e
15. Phish­ing et al. Uma forma de engen­haria social em que um ata­cante uti­liza comu­ni­cações fraud­u­len­tas (nor­mal­mente, cor­reio elec­trónico), para manip­u­lar a sua vítima e convencê-la a divul­gar infor­mação (e.g. pass­words).

in 2009 Sup­ple­men­tal Data Breach Inves­ti­ga­tions Report: An Anatomy of a Data Breach.

Fonte: Miguel Almeida