Bruce Willis volta como John McClane em Live Free or Die Hard, mas desta vez o que está em jogo não é apenas explodir edifícios. O vilão não está usando C4. Ele está usando a Internet. Seu objetivo? Para paralisar a infra-estrutura dos EUA. McClane tem que impedir uma conspiração ciberterrorista e salvar sua filha, enquanto os sistemas digitais desmoronam ao seu redor.
É um sucesso de bilheteria de Hollywood. Mas levanta uma questão assustadora para quem mantém a sua conta bancária online: será um ataque cibernético coordenado capaz de causar uma verdadeira devastação económica ou física nos Estados Unidos?
A resposta parece ser sim. A segurança cibernética não é mais apenas um problema do departamento de TI. Os meios de comunicação social e os funcionários do governo classificam-no agora, juntamente com o terrorismo, a proliferação nuclear e as alterações climáticas, como a principal ameaça à estabilidade nacional. Por que? Porque tudo está conectado. Redes comerciais, bancos de dados governamentais, contas privadas. Eles estão todos conectados. E a conexão é uma vulnerabilidade.
O cenário de ameaças mudou. Os hackers não são mais lobos solitários em porões. Eles são organizados. Eles trabalham em redes. Os mercados negros prosperam online, comercializando dados roubados e software ilícito. “Carders” vendem informações de cartão de crédito em massa. Os golpes de phishing são mais sofisticados. Malware – vírus, cavalos de Tróia, worms – é uma indústria maior do que todo o setor de segurança de computadores combinado. Esses atores são globais. Muitos operam em países como a Roménia, onde a Internet de alta velocidade encontra uma aplicação da lei negligente.
Não se trata apenas de roubo. É uma questão de poder.
Relatórios recentes do governo britânico destacam agências de inteligência estrangeiras – potencialmente da China, Coreia do Norte e antigos estados soviéticos – a invadir sistemas do Reino Unido. O motivo? Espionagem econômica. O objectivo é minar as economias rivais, roubando segredos comerciais e dados industriais e, em seguida, transferindo essas informações para empresas estatais ou amigas. As táticas incluem atacar funcionários-chave com e-mails carregados de vírus, unidades USB infectadas ou CDs comprometidos.
Os governos estão acordando. A UE, o G8 e outros organismos formaram grupos de trabalho contra o cibercrime. O FBI administra o InfraGard, compartilhando informações com as autoridades locais. A Grã-Bretanha vê o perigo. Mas e os EUA?
Para compreender a escala da ameaça, vejamos o caso da Estónia.
O ataque cibernético na Estônia
Em 2007, a Estónia enfrentou um dos primeiros grandes ataques cibernéticos patrocinados pelo Estado da história. Não foi uma invasão física. Foi um cerco digital.
As faíscas que desencadearam o primeiro grande conflito cibernético não vieram de um ator estatal obscuro num quarto escuro. Eles vieram de uma estátua.
Em 27 de Abril de 2007, o governo da Estónia tomou uma decisão pragmática mas volátil. Eles transferiram o Soldado de Bronze, um memorial da Segunda Guerra Mundial da era soviética, de uma movimentada praça no centro de Tallinn para um cemitério militar nos arredores da cidade. A medida pretendia aliviar as tensões num país onde cerca de um oitavo da população fala russo. Mas a mudança desencadeou um tipo diferente de explosão.
Os protestos eclodiram no terreno. Mais importante ainda, eles explodiram online.
A anatomia de um ataque DDoS
Em poucas semanas, a infraestrutura digital da Estónia foi alvo de um ataque contínuo. A arma principal foram os ataques de negação de serviço distribuída (DDoS)**.
Os hackers não precisavam de backdoors sofisticados ou explorações complexas. Eles só precisavam de volume. Utilizando centenas, por vezes milhares, de computadores “zumbis” comprometidos – máquinas infectadas com malware e controladas remotamente – bombardearam websites estónios com milhares de pedidos por segundo.
O resultado foi um engarrafamento de proporções digitais. usuários legítimos não conseguiam passar. Portais governamentais, sites bancários e meios de comunicação desapareceram ou tornaram-se dolorosamente lentos. Os ataques não foram apenas irritantes; eles eram perturbadores.
Quem realmente estava por trás da guerra cibernética?
Imediatamente depois, o jogo da culpa começou. O governo russo emitiu protestos furiosos e ameaçou retaliar. Muitos especialistas ocidentais, ávidos por uma nova narrativa, declararam que isto era o início de uma “guerra cibernética”, implicando uma intervenção directa do Kremlin.
A realidade era mais confusa. A inteligência acabou sugerindo que o Estado russo não organizou ou executou diretamente os ataques. Em vez disso, a fúria foi alimentada por uma combinação de sentimento nacionalista e pirataria oportunista. Cidadãos russos indignados, agitados pela retórica estatal e pela raiva genuína pela remoção da estátua, lançaram eles próprios os ataques.
O governo da Estónia descreveu a experiência como semelhante a um ataque terrorista. A distinção importava. Um ataque terrorista é pessoal, caótico e psicológico. Uma guerra patrocinada pelo Estado é estratégica e coordenada. Os acontecimentos de 2007 situaram-se algures na zona cinzenta, provando que os intervenientes não estatais podem exercer um poder perturbador significativo.
O custo da interrupção
A escala dos ataques na Estónia foi modesta em comparação com os actuais mega-incidentes de DDoS, que podem gerar terabits de tráfego. Mas o seu impacto foi profundo.
A Estônia não perdeu dados. A sua infraestrutura crítica não foi destruída. No entanto, o custo foi alto em termos de tempo e recursos. O governo teve de desviar mão-de-obra significativa para combater os ataques, reparar danos à reputação e tranquilizar uma economia abalada. Expôs uma dura verdade: as sociedades modernas são frágeis quando os seus serviços são digitalizados.
Esta não foi a primeira vez que a tensão política se espalhou pelo ciberespaço. Hackers indianos e paquistaneses se envolveram em campanhas DDoS e surtos de vírus de longa data. Grupos israelitas e palestinianos desfiguraram os websites uns dos outros durante anos.
Mas o caso da Estónia foi único. Não foi um conflito breve. Foi um cerco de semanas que consumiu a atenção de todo o governo e atraiu a atenção da comunidade internacional. Mostrou ao mundo que uma nação pequena e altamente conectada poderia ser derrubada por um enxame de teclados furiosos.
Como os Estados Unidos se sairiam
A Estônia, uma das nações mais “conectadas” do planeta, conseguiu resistir à tempestade. Houve atrito econômico. Houve perturbação governamental. Mas não houve colapso de longo prazo.
A questão crítica, então e agora, é como os Estados Unidos lidariam com um cenário semelhante. Os EUA são muito mais complexos, profundamente interligados e fortemente dependentes de infra-estruturas do sector privado para serviços essenciais como energia, finanças e cuidados de saúde.
Se uma campanha direcionada de negação de serviço distribuída (DDoS)** atingir bancos, redes de energia ou
A Primavera de 2007 trouxe um acerto de contas desconfortável para Washington. Durante uma audiência realizada em 19 de abril, o Subcomitê do Congresso sobre Ameaças Emergentes, Cibersegurança, Ciência e Tecnologia ouviu que os sistemas dos Departamentos de Comércio e de Estado haviam sido violados em 2006. Mas os danos não pararam por aí. Scott Charbo, Diretor de Informações do Departamento de Segurança Interna, enfrentava uma possível demissão. O seu mandato foi marcado por 844 incidentes relacionados com a segurança documentados apenas em 2005 e 2006.
Estas não foram pequenas falhas. Foram falhas sistêmicas. E-mails classificados foram roteados por redes não seguras. Laptops pessoais foram conectados à infraestrutura governamental. Software não aprovado foi instalado sem supervisão. Dados confidenciais vazaram. Os vírus se espalham. Os firewalls estavam abertos. O DHS recebeu um “D” em seu boletim anual de segurança informática daquele ano. Foi uma melhoria em relação às notas de reprovação de 2003 a 2006, mas “D” ainda é uma nota de reprovação. Todo o governo federal obteve nota C menos, acima do D mais do ano anterior. A lacuna entre promessa e desempenho estava aumentando.
A resposta foi imediata. O DHS criou uma nova função: Secretário Adjunto de Segurança Cibernética e Telecomunicações, preenchido por Greg Garcia. Este foi um reconhecimento de que a antiga estrutura não estava funcionando. Anteriormente, em Fevereiro de 2006, o governo dos EUA tentou simular o pior cenário possível. Em parceria com 115 entidades em cinco países, eles conduziram a Cyber Storm. Este não foi um exercício de mesa. Foi uma simulação em grande escala envolvendo grandes corporações, agências governamentais e organizações de segurança.
O objetivo era testar o que aconteceria se sites críticos do governo, de empresas e privados fossem atacados. Os resultados foram caóticos. Os ataques falsos provocaram apagões em dez estados. O software comercial foi infectado por vírus. As redes bancárias online falharam. O exercício também testou a capacidade do governo para lidar com a desinformação que os atacantes inevitavelmente espalhariam. Foi um teste de resistência que revelou vulnerabilidades significativas na forma como a infraestrutura digital do país se manteve unida sob pressão. A Cyber Storm II foi agendada para 2008, um sinal claro de que a primeira rodada havia exposto muitas rachaduras.
Enquanto a burocracia lutava, os militares já estavam na linha de frente. Na Base Aérea de Barksdale, em Louisiana, 25 mil pessoas trabalharam na guerra eletrônica, na segurança de redes e na defesa da infraestrutura de Internet do país. Eles não estavam esperando permissão para se preocupar com o futuro. Eles estavam construindo isso. Se os EUA alguma vez enfrentassem um ataque cibernético massivo, estes grupos, juntamente com as agências de inteligência e o Departamento de Defesa, seriam os primeiros a responder.
No centro dessa defesa está o US-CERT, a Equipe de Preparação para Emergências de Computadores dos Estados Unidos. Criada em 2003, o seu mandato é específico: proteger a infraestrutura da Internet e defender-se contra ataques cibernéticos. Serve como centro de coordenação, olhos e ouvidos da postura de defesa cibernética do governo. A arquitetura está no lugar. Os jogadores estão identificados. A questão permanece se os muros são altos o suficiente antes da próxima tempestade.
Os Estados Unidos ainda apresentam vulnerabilidades enormes na sua espinha dorsal digital, apesar dos esforços incansáveis para colmatar as lacunas. Mas será que esta fragilidade leva ao caos ao estilo Die Hard? Na verdade. Não há registro de ninguém morrendo em decorrência de um ataque cibernético. Ninguém morreu quando as redes da Estónia foram atacadas e ninguém nunca morreu porque um computador foi comprometido.
Grupos terroristas falam em lançar ataques através da Internet, mas a verdadeira ameaça não é a destruição ideológica. É dinheiro. Gangues criminosas extorquem empresas. Hackers furiosos querem fazer uma declaração. Essa é a paisagem real.
Por que os ataques cibernéticos não causam vítimas em massa
Melhores protocolos de segurança, sistemas redundantes, software de monitorização e supervisão humana tornam praticamente impossível que os ataques cibernéticos causem vítimas físicas em grande escala. Ou mesmo um único. Os sistemas militares são particularmente seguros. Uma criança de 11 anos em Pequim não está lançando ICBMs. As armas nucleares, como muitos outros sistemas críticos ou classificados, nem sequer estão ligadas à Internet.
A Estónia provou que os danos económicos são reais. Se os hackers desligarem as fontes de alimentação ou se infiltrarem num grande banco ou no mercado de ações, o problema será imediato. Mas, em muitos casos, é muito mais fácil para um hacker entrar em um sistema ou rede do que causar qualquer dano real enquanto estiver lá dentro. Além disso, a presença de pessoal humano bem treinado e de sistemas proprietários nas concessionárias e outros sistemas vitais significa que quaisquer problemas podem ser resolvidos rapidamente.
Os principais perigos para a segurança cibernética continuam a ser sob a forma de worms, vírus, programas de cavalos de Tróia e a exploração de falhas de segurança, que continuam a causar milhares de milhões de dólares em perdas à indústria privada todos os anos.
Os EUA já foram hackeados?
Não há uma resposta única para esta pergunta, pois os Estados Unidos têm sido alvo de muitos tipos diferentes de ataques de hackers ao longo dos anos. Alguns dos ataques mais notáveis incluem o hack do Office of Personnel Management em 2015, que resultou no roubo de mais de 21 milhões de registros pessoais, e o hack da Sony Pictures em 2014, que expôs mais de 100 milhões de registros de clientes.
Artigos e recursos relacionados
Se você quiser se aprofundar em como esses sistemas funcionam e falham, confira os seguintes tópicos:
- Como funciona a infraestrutura da Internet
- Como funcionam os servidores web
- Como funciona o phishing
- Como funciona o spam
- Como funcionam os vírus de computador
- Como funciona o roubo de identidade
- Como funcionam os firewalls
- Como funciona a criptografia
- Como funciona a biometria
Para obter mais informações sobre segurança na Internet e outros tópicos relacionados, confira os links na próxima página.
Mais ótimos links
- Ataques de hackers – Blog de espelhamento de segurança
- Denúncia de hackers, fraudes e outros crimes relacionados à Internet
- Equipe de Preparação para Emergências Informáticas dos Estados Unidos
