Os 15 ataques mais comuns em 2009, segundo a Verizon...

...foram os seguintes:

  1. Keylogging e spyware. Formas de malware que são escritas especificamente para, sub-repticiamente, recolher, observar e registar as acções das pessoas nos seus computadores;
  2. Backdoor ou command/control. Ferramentas que permitem acesso remoto e/ou controlo de computadores infectados, que são desenhadas para 'correr', também elas, sub-repticiamente;
  3. SQL injection. Uma técnica de ataque utilizada para explorar fragilidades na comunicação entre as páginas web, e as bases de dados que contêm a informação que suporta os sites;
  4. Abuso de autorizações de acesso/privilégios. Abuso deliberado e malicioso de recursos, acessos, ou privilégios, concedidos a um indivíduo por uma organização;
  5. Acesso não-autorizado através de credenciais predefinidas. Situações em que um atacante ganha acesso a um sistema (ou dispositivo) protegido por passwords standard, bem conhecidas, que são predefinidas por omissão;
  6. Violação de políticas de utilização aceitável, entre outras. Desrespeito e actuação, acidental ou propositada, em oposição a políticas de segurança estabelecidas;
  7. Acesso não-autorizado através de listas de controlo de acesso (ACLs) mal configuradas ou fracas. Quando as ACLs não são bem definidas, os atacantes podem ter acesso a recursos e praticar acções que não foram previstas nem autorizadas pelas suas vítimas;
  8. Packet sniffer. Observa e captura a informação em trânsito numa rede;
  9. Acesso não-autorizado através de credenciais capturadas. Situações em que um atacante ganha acesso a um sistema (ou dispositivo) protegido, utilizando credenciais válidas que foram obtidas de forma ilegítima;
  10. Engenharia social. Técnicas de manipulação através das quais um atacante cria um cenário para persuadir, manipular, e convencer uma vítima a realizar uma acção ou a divulgar informação;
  11. Transposição dos controlos de autenticação. Acesso não-autorizado a um sistema, transpondo os mecanismos normais de autenticação;
  12. Roubo. Roubo, no sentido físico, de um computador, disco, ou outro activo do sistema de informação;
  13. Ataque de 'força bruta'. Um processo automatizado que visa testar múltiplas combinações (nome de utilizador, password) até acertar nas que são correctas;
  14. RAM scraper. Uma forma recente de malware desenhada para capturar dados na memória de um sistema; e
  15. Phishing et al. Uma forma de engenharia social em que um atacante utiliza comunicações fraudulentas (normalmente, correio electrónico), para manipular a sua vítima e convencê-la a divulgar informação (e.g. passwords).

in 2009 Supplemental Data Breach Investigations Report: An Anatomy of a Data Breach.

Um relatório de referência (!)