Os 15 ataques mais comuns em 2009, segundo a Verizon

1. Keylogging e spyware. Formas de malware que são escritas especificamente para, sub-repticiamente, recolher, observar e registar as acções das pessoas nos seus computadores;
2. Backdoor ou command/control. Ferramentas que permitem acesso remoto e/ou controlo de computadores infectados, que são desenhadas para ‘correr’, também elas, sub-repticiamente;
3. SQL injection. Uma técnica de ataque utilizada para explorar fragilidades na comunicação entre as páginas web, e as bases de dados que contêm a informação que suporta os sites;
4. Abuso de autorizações de acesso/privilégios. Abuso deliberado e malicioso de recursos, acessos, ou privilégios, concedidos a um indivíduo por uma organização;
5. Acesso não-autorizado através de credenciais predefinidas. Situações em que um atacante ganha acesso a um sistema (ou dispositivo) protegido por passwords standard, bem conhecidas, que são predefinidas por omissão;
6. Violação de políticas de utilização aceitável, entre outras. Desrespeito e actuação, acidental ou propositada, em oposição a políticas de segurança estabelecidas;
7. Acesso não-autorizado através de listas de controlo de acesso (ACLs) mal configuradas ou fracas. Quando as ACLs não são bem definidas, os atacantes podem ter acesso a recursos e praticar acções que não foram previstas nem autorizadas pelas suas vítimas;
8. Packet sniffer. Observa e captura a informação em trânsito numa rede;
9. Acesso não-autorizado através de credenciais capturadas. Situações em que um atacante ganha acesso a um sistema (ou dispositivo) protegido, utilizando credenciais válidas que foram obtidas de forma ilegítima;
10. Engenharia social. Técnicas de manipulação através das quais um atacante cria um cenário para persuadir, manipular, e convencer uma vítima a realizar uma acção ou a divulgar informação;
11. Transposição dos controlos de autenticação. Acesso não-autorizado a um sistema, transpondo os mecanismos normais de autenticação;
12. Roubo. Roubo, no sentido físico, de um computador, disco, ou outro activo do sistema de informação;
13. Ataque de ‘força bruta’. Um processo automatizado que visa testar múltiplas combinações (nome de utilizador, password) até acertar nas que são correctas;
14. RAM scraper. Uma forma recente de malware desenhada para capturar dados na memória de um sistema; e
15. Phishing et al. Uma forma de engenharia social em que um atacante utiliza comunicações fraudulentas (normalmente, correio electrónico), para manipular a sua vítima e convencê-la a divulgar informação (e.g. passwords).

in 2009 Supplemental Data Breach Investigations Report: An Anatomy of a Data Breach.

Fonte: Miguel Almeida