António Silva, formador GALILEU em Segurança Informática, ajudou-nos a perceber qual o impacto dos ataques informáticos em Portugal mas sobretudo a estratégia portuguesa para o seu combate. O formador nas áreas de Redes e Sistemas (Microsoft) e de Segurança (EC-Council) não tem ‘boas notícias’.
1) Qual é a situação nacional no que toca à proteção de ataques informáticos? Numa escala de 0 a 10, como avalia a capacidade portuguesa neste campo?
É muito preocupante. Temos vindo a assistir a um aumento gradual de ataques concertados a empresas e organizações em Portugal e com sucesso, pelo que a capacidade portuguesa de resistência a esses ataques está muito baixa. Diria um 4.
2) Portugal é um país especialmente atrativo para os ataques informáticos? Tanto na sua vertente defensiva como eventualmente numa capacidade de resposta?
Portugal é um país tão atrativo como tantos outros. O foco dos atacantes, na esmagadora maioria das vezes, é a obtenção de dinheiro, normalmente bitcoins, por ser muito mais difícil de ser rastreado pelas forças policiais, do que o tradicional dinheiro. O que tem vindo a acontecer é uma mudança de paradigma: antes os atacantes focavam-se principalmente em alguns países e agora, qualquer país pode ser fonte de rendimento.
Sobre a capacidade defensiva portuguesa, o que acontece é que como nos habituámos a ver os ataques noutros países e os empresários olharem para a informática – e principalmente para a segurança informática – como uma fonte de custos, deixámo-nos ir de forma passiva, o que levou à situação atual: as empresas e instituições não estão preparadas para estes ataques. No entanto, Portugal tem excelentes profissionais na área da Segurança Informática, pelo que rapidamente a nossa capacidade de resposta irá aumentar significativamente, até porque os gestores já estão a mudar de opinião e a olhar para a segurança informática como um investimento. Agora, esta mudança leva tempo pelo que iremos continuar a assistir a notícias de ataques com sucesso nas nossas organizações públicas e privadas.
3) As empresas estão mais alertas ultimamente para os efeitos de um possível ataque informático. Tem-se assistido a mudanças e investimento significativo para estarem mais bem preparadas?
Sim. A pouco e pouco as empresas começam a investir mais na segurança, não só porque estão a assistir a ataques aos “vizinhos”, como elas próprias estão também a ser alvo. Só que “leva tempo”. Não se protege uma empresa em poucos dias, além de que é necessário apetrechar de tecnologia e preparar os colaboradores para essas mudanças tecnológicas e comportamentais. Também com o objetivo de sensibilizar as empresas para a importância de se protegerem, apresentando soluções, temos vindo a realizar na GALILEU um ciclo de webinars dedicado à Segurança Informática.
4) Qual acaba por ser o maior responsável por um ataque informático? A capacidade do hacker ou a iliteracia informática dos utilizadores?
Um pouco de ambas, até porque estão ligadas. Aumentou drasticamente o número de atacantes com excelentes conhecimentos de sistemas operativos, redes, tecnologia e engenharia social, que é a arte de “enganar” os utilizadores e levá-los a atitudes que irão comprometer os sistemas. É preciso ter em conta, que os atacantes exploram duas fraquezas típicas do ser humano: curiosidade e ganância. Todos nós somos curiosos e gananciosos em níveis diferentes e portanto, é muito fácil encontrar alguém que é curioso ou ganancioso em demasia. Vou-lhe dar um exemplo: estamos em época da devolução do IRS de parte do estado aos cidadãos. Se um atacante enviar um mail igual ao do Ministério das Finanças, a informá-lo de que a devolução está disponível e a pedir-lhe para clicar no “link” para aceder a essa informação, quantas pessoas imagina que irão clicar nesse “link”?
5) Que estratégias devem assumir as empresas para reforçar as suas defesas?
Como piada, costuma-se dizer que os problemas de segurança começam sempre no “componente” que está entre a cadeira e o teclado. Mas de fato, o fator humano é uma das principais razões das falhas de segurança. Por isso as empresas devem apostar em ações de sensibilização para os seus colaboradores. E a chave aqui é serem poucos em cada sessão, para aumentar o foco individualmente e periodicamente: repetir ao longo do ano. Por exemplo, organizar sessões trimestralmente. Além disso, dar formação contínua às suas equipas de segurança. Todos os dias há novas ameaças e novas técnicas de ataque. Os sistemas operativos vão sendo alterados. Assistir a um curso este ano, já não será suficiente para o ano que vem. É por isso que os cursos de segurança vão sendo renovados praticamente todos os anos. Finalmente, categorizar (crítico, importante, pouco importante) e priorizar. Conhecer o seu negócio é essencial para identificar os pontos críticos da organização para proteger o que é mais importante em primeiro lugar!
6) Existe uma partilha interempresas ou interorganizações para melhor lidar com a situação?
Sim, têm vindo a aumentar esses recursos a nível mundial. Aliás, as ferramentas que têm vindo a ser desenvolvidas para a área da segurança, usam cada vez mais, a partilha de informação a nível mundial. Informação essa tratada de forma “inteligente” não só para detetar ameaças conhecidas, mas também para prever que determinada ação que está a ocorrer é provável que seja um novo ataque, ainda não conhecido. No panorama nacional, o Centro Nacional de Cibersegurança (CNCS), por exemplo, tem estado a trabalhar para ajudar as organizações a melhorar a sua segurança, de uma forma excelente. Acho importante realçar o que de positivo temos em Portugal. Só como exemplo, estiveram neste início de ano a executar o “Roadshow Nacional 2022”, várias sessões de sensibilização por todo o país, sobre o enquadramento relativo ao Regime Jurídico da Segurança do Ciberespaço e só tenho pena que não tenha tido a cobertura apropriada, pelos meios de comunicação. Outra ferramenta muito útil disponibilizada pelo CNCS é o Sandbox4All, que é uma plataforma que permite a qualquer pessoa submeter um ficheiro que tenham recebido por e-mail ou realizado um download e que suspeitem ser malicioso: queremos ter a certeza de que não tem vírus, submetemos e em poucos minutos sabemos os resultados da análise automática. Mas o CNCS oferece muito mais. Consultem o endereço https://www.cncs.gov.pt e aproveitem.
7) Os casos recentes nos dois hospitais públicos sucedem-se aos casos já vistos em órgãos de comunicação social e Vodafone, só para citar os mais mediáticos. Qual aponta poder ser o próximo sector alvo?
Se eu fosse adivinho já tinha ganho o Euromilhões. Deixando de brincadeiras, temos vindo a assistir a diversos ataques a organizações nacionais ou que trabalham em Portugal. Isto é realizado de forma metódica. Ou seja, os atacantes atacam o Hospital Garcia de Orta e descobrem vulnerabilidades que conseguem explorar. Se o Hospital Garcia de Orta tem essas vulnerabilidades, é provável que os restantes hospitais do país também as tenham. O mesmo aconteceu em órgãos de comunicação social, fornecedores de telecomunicações, etc. Daí estarmos a assistir a ataques por setor. Assim, o próximo sector a ser atacado será aquele em que os atacantes descubram vulnerabilidades críticas que possam explorar numa determinada empresa desse sector. A seguir irão atacar todas as outras empresas desse sector, para explorar essas mesmas vulnerabilidades.
