A invasão da Ucrânia pela Rússia tem alterado todas as bases geopolíticas e geoeconômicas sobre as quais o mundo estava estruturado desde o fim da Guerra Fria. Países estão rediscutindo questões como os perigos da interdependência econômica e a interconexão entre segurança nacional e comércio internacional, e ponderando se os impactos sobre o custo de energia derivados do gás russo são uma oportunidade para acelerar a transição para energias renováveis ou de retorno a fontes ainda mais poluentes como o carvão. Uma questão, contudo, parece clara (se não estava clara o suficiente): países e empresas precisam, urgentemente, investir em melhorar sua cibersegurança, e, especialmente, a de sua infraestrutura crítica.
Até o momento, não foi detectado nenhum ataque cibernético de grandes dimensões (por exemplo, capaz de derrubar o sistema elétrico e/ou de telecomunicações) na guerra russo-ucraniana, surpreendendo expectativas iniciais. Discute-se se a invasão não teria sido bem planejada, sem que os operadores cibernéticos estivessem pré-posicionados, ou se a Rússia teria hesitado em derrubar a infraestrutura do país por achar que iria rapidamente controlá-lo, ou simplesmente se a Ucrânia está mais preparada hoje para este tipo de ataque do que há 8 anos, quando a Rússia invadiu e anexou a Crimeia (vale lembrar que a Ucrânia é integrante do Fórum Global de Ciberexpertise e que os Estados Unidos têm dado ajuda militar ao país, na casa dos milhões, para investimentos e capacitação na área).
Contudo, agências de inteligência e profissionais de cibersegurança não descartam um ataque cibernético maciço da Rússia conforme o cenário de guerra piore. Vale lembrar que um dos piores ataques cibernéticos de todos os tempos –o NotPetya– foi lançado justamente por hackers russos contra a Ucrânia. Usado em 2017, o malware (que criptografrava todas as informações do sistema atingido, mas sem qualquer possibilidade de descriptografia, diferentemente de um ransomware “legítimo”) paralisou órgãos do governo, aeroportos, ferrovias, bancos, e até o sistema de monitoramento da radioatividade em Chernobyl. Os custos do ataque (que se espalhou pelo mundo) foram estimados em US$ 10 bilhões.
Assim, começa-se a ver uma nova rodada de investimentos em defesa cibernernética. O presidente dos Estados Unidos, Joe Biden, sancionou em 15 de março uma nova lei com o objetivo de proteger infraestruturas críticas norte-americanas, como telecomunicações, sistema de saúde e instalações de energia, contra ataques cibernéticos como ransomwares.
A chamada Lei de Fortalecimento da Cibersegurança Americana (Strengthening American Cybersecurity Act) aumenta o poder das agências que investigam incidentes de segurança cibernética e, entre outros dispositivos, cria a obrigação de notificar a ocorrência de um incidente cibernético à Agência de Segurança Cibernética e Infraestrutura (CISA) em até 72 horas após a confirmação ou suspeita de sua ocorrência e em até 24 horas após a realização de pagamento de resgate de ransomware.
Em evento on-line recente, o senador democrata Mark Warner, presidente do Comitê de Inteligência do Senado americano, afirmou que a empresa que for vítima de um ataque cibernético e fizer a notificação receberá imunidade do governo, e que os objetivos da lei são o de desmascarar os agentes de malware e ampliar a taxa de notificação de ataques, atualmente em torno de 30% do total.
O risco cibernértico aos Estados Unidos já era claro faz tempo. O exemplo-mor é o da Colonial Pipeline, sistema de oleoduto americano. Atacada por um grupo de hackers russo em maio de 2021, a operação, que serve vastas áreas da costa leste, foi interrompida até o pagamento de resgate de US$ 4,4 milhões. E relatório de outubro de 2021 da empresa Microsoft informa que hackers russos visam cada vez mais órgãos governamentais dos Estados Unidos, enquanto que no passado os ataques eram cometidos quase que exclusivamente contra entidades privadas.
Apesar da ameaça real já existente, a Lei de Fortalecimento da Cibersegurança Americana mostrou como o discurso em torno da cibersegurança só mudou rapidamente com a materialização do ataque russo contra a Ucrânia: o projeto de lei, que tinha sido muito questionado e chegou a ser retirado do projeto anual de política de defesa americana alguns meses atrás, foi agora aprovado com apoio de ambos os partidos –incluindo votação unânime no Senado (embora ressalte-se que o presidente Biden, via decreto, criou um conselho de segurança cibernética logo após o ataque ao Colonial Pipeline).
Para o senador Warner, os próximos passos são incrementar a produção doméstica americana de itens estratégicos como semicondutores e aumentar investimentos em tecnologias como 5G, O-RAN (rede aberta de acesso via rádio), inteligência artificial e computação quântica. A China, é bom lembrar, estabeleceu a busca pela autossuficiência na produção de semicondutores como prioridade nacional em seu último plano quinquenal, em 2021.
E o Brasil? É sabido que nossa defesa cibernética deixa muito a desejar: levantamento feito por empresa de segurança apontou que os ataques de ransomware no Brasil teriam aumentado 92% de janeiro a agosto de 2021 e, de acordo com empresa de consultoria internacional, o Brasil seria o quinto maior alvo de cibercriminosos. Diversos órgãos públicos, incluindo o Supremo Tribunal Federal, o Superior Tribunal de Justiça e o Ministério da Saúde, já foram alvo de ataques, geralmente de natureza ransomware.
Embora o Brasil, por conta da sua reduzida importância geopolítica, tenha sido poupado até o momento de grandes ciberataques, inclusive de natureza terrorista (como o caso visto recentemente nos Estados Unidos, onde um hacker tentou envenenar uma cidade invadindo o seu sistema de tratamento de água e alterando a concentração de soda cáustica no reservatório), os especialistas na área são praticamente unânimes em afirmar que os investimentos brasileiros em cibersegurança, e especialmente por parte do setor público, têm ficado muito aquém do desejável, e as iniciativas tomadas recentemente, como a Estratégia Nacional de Segurança Cibernética, de 2020, pecam por ser genéricas. O Brasil faria bem em se preparar para um novo cenário internacional de maior hostilidade e de ataques cibernéticos cada vez mais prováveis, tanto por atores privados como estatais.
Confira aqui o artigo completo.
