Quais os riscos de uma guerra cibernética?

Bruno Prado, CEO da UPX, empresa de tecnologia focada em segurança cibernética, comenta questões que cercam uma guerra cibernética e seus riscos. Nessas situações há possibilidade de disseminação em massa e de forma cirúrgica de softwares maliciosos – malwares e sequestro com pedido de resgate – ransomwares. Podem ser ataques dos tipos DDoS, phishing e pharming, para atingir redes utilizadas por bancos, governos regionais e empresas, afetando uma ampla oferta de serviços e prejudicando a economia local como um todo.
Acompanhe.
1 – O que caracteriza uma guerra cibernética?
O digital é o meio mais barato, mais fácil de exercer atividades de guerra, que pode ter interesses industriais ou governamentais, e de atingir os seus objetivos por mecanismos vários. Uma guerra cibernética entre países é caracterizada pelo nível de interesses militares de cada uma das partes. Qual é o propósito? Se um governo quer extrair informações militares de outro, por exemplo, ele pode infiltrar alguém ou fazer isso de modo digital, aproveitando a rede mundial de computadores. É a partir daí que se dá a guerra.
2 – De que forma ela acontece?
Se o interesse militar for roubo de informação, então basta explorar algum tipo de vulnerabilidade de alguma aplicação que possua informações em computadores, e aí você cria ferramentas para invadir aquele sistema, por meio das vulnerabilidades, e rouba as informações. Já o ataque distribuído de negação de serviço, conhecido como Distributed Denial of Service – DdoS [que se vale da capacidade que dos recursos de rede, como a infraestrutura que viabiliza o site de uma empresa ou instituição oficial governamental], pode ser usado como ‘cortina de fumaça’ para o país que ataca ganhar tempo para agir paralelamente de forma física. Por exemplo, o ataque pode ser contra a soberania de uma nação – se você tira um banco do ar, você ataca o sistema financeiro de um país. Imagine derrubar uma bolsa de valores. O ataque pode ser, portanto, de ordem financeira, de roubo de informação militar e também roubo de informação industrial.
3 – Quais são os impactos, seus resultados e danos?
Se o alvo for, por exemplo, uma indústria, como é o caso da Embraer, o impacto pode ser econômico. Imagine a China ter acesso a um projeto da Embraer. Como o país possui uma empresa de fabricação de aviões, esse roubo pode provocar um dano comercial futuro. O que está por trás disso é uma guerra entre interesses de países. O interesse governamental pode ter propósito corporativo. Se o alvo for o banco, aí você prejudica todas transações financeiras de empresas com seus clientes. E isso traz consequências indiretas para o cidadão. Um ataque a um hospital, derrubando os computadores, prejudica o atendimento aos pacientes, o que coloca vidas em risco.
4 – De que forma se defender, tanto em âmbito empresarial como do usuário?
A defesa se dá por meio de dois eixos: educacional, por meio de orientação aos usuários, e boas práticas, utilizando gerenciador de senhas, um segundo fator de autenticação, entre outros. No caso corporativo, se você é uma pequena ou média empresa, é preciso dividir infraestrutura (hardware) de software. O profissional responsável pela segurança vai se focar especificamente na garantia da proteção do sistema. Ele também vai promover educação sobre cibersegurança junto aos envolvidos.
5 – Os Estados Unidos e Israel são expoentes na defesa cibernética. Eles estariam mais seguros que os demais países em um eventual ataque?
Sem dúvidas. Para se defender, é preciso saber atacar. Os Estados Unidos além de defender, também sabem atacar e mantêm um arsenal grande para isso. Eles já realizaram no passado um ataque para desativar equipamentos da Siemens e afetar o programa de enriquecimento de urânio do regime iraniano. Esses vírus eram maliciosos somente para os computadores usados pelos iranianos. Israel, por sua vez, tem um sistema de defesa digital bastante sofisticado. Empresas do ramo que se destacam mundo afora também são israelenses.
6 – Como os fornecedores de soluções de cibersegurança podem defender as empresas no Brasil?
Tem que ter a cultura corporativa de que segurança cibernética é essencial. Porém, essa cultura ainda não se difundiu o suficiente. O sistema financeiro é bem protegido, mas é preciso disseminar a mentalidade junto às pequenas e médias empresas. Há fornecedoras brasileiras que oferecem pacotes de segurança por porte da empresa. Hoje em dia você compra um gerenciador de senha, por exemplo, por um valor acessível para uma microempresa.
7 – Que ações podem ser tomadas pelo governo nesse segmento?
O Brasil está avançando alguns passos nesse sentido, com iniciativas como a Lei Geral de Proteção de Dados – LGPD, Lei Carolina Dieckmann e Marco Civil da Internet e, inclusive está até um pouco à frente de outros países. Porém, o governo poderia fazer algo mais ostensivo e agrupar essas leis todas num só entendimento. A Lei Carolina Dieckmann não trata apenas de vazamento de fotos de celular em manutenção, fala também de ataques telemáticos. A LGPD e a Lei Carolina Dieckmann poderiam ser capítulos do Marco Civil. Tudo poderia ser colocado debaixo do Marco Civil, em vez desse Frankenstein que temos. Outro ponto é que não há um canal específico da PF para receber denúncias relativas a crimes cibernéticos. Então é preciso corrigir essa situação das leis, criar um canal de comunicação para tratar exclusivamente desse tipo de ocorrência e ter uma polícia cibernética. Poderia haver uma PF voltada para crimes cibernéticos, levando-se em conta o volume de crimes desse tipo. O crime vale a pena porque não há investimento massivo na PF em cima dessa situação. Se o governo fizesse uma campanha para estruturar informações de casos, digamos de ataques DDoS, certamente conseguiria agir contra isso de forma mais eficiente.