O que os ataques cibernéticos em andamento da Rússia na Ucrânia sugerem sobre o futuro da guerra cibernética

Entre 1946 e 1958, o Atol de Bikini, no Oceano Pacífico Norte, foi usado como campo de testes para 23 novos dispositivos nucleares que foram detonados em vários pontos no TI, acima ou abaixo dele. O objetivo dos testes era principalmente entender (e, em muitos casos, exibir) como essas novas armas realmente funcionavam - e do que eram capazes. A era dos testes nucleares pode ter acabado, mas a era da guerra cibernética está apenas começando. E para a Rússia, a guerra com a Ucrânia provavelmente tem servido como um campo de testes ao vivo para sua próxima geração de armas cibernéticas. Os países e as empresas que estão assistindo ao desenrolar desse último capítulo devem se lembrar disso: A frente on-line da guerra pode - e já ultrapassou - as fronteiras. Ao contrário dos ataques convencionais, os ataques cibernéticos podem ser difíceis de atribuir com precisão. A negação plausível existe porque, em muitos casos, os ataques cibernéticos podem ser lançados de um host involuntário. Por exemplo, o controle parcial do seu computador doméstico pode ser assumido, sem que o senhor saiba, e usado para iniciar uma cadeia de ataques. Um desses eventos ocorreu em 2013, quando geladeiras inteligentes passaram a fazer parte de um botnet e foram usadas para atacar empresas. Em 2016, muitos milhares de câmeras de segurança domésticas foram tomadas e usadas para gerar disrupção nas operações do Twitter, Amazon, Spotify, Netflix e muitos outros. Mas há fortes evidências que ligam os hackers russos a uma série de ataques na Ucrânia. Voltando a 2015, após a invasão russa da Península da Crimeia, supostos hackers russos conseguiram derrubar a energia elétrica de cerca de 230.000 clientes no oeste da Ucrânia. Os atacantes repetiram o truque no ano seguinte, expandindo a lista de alvos para incluir agências governamentais e o sistema bancário. Nas horas que antecederam a invasão das tropas russas, a Ucrânia foi atingida por um malware nunca antes visto, projetado para apagar dados - um ataque que , segundo o governo ucraniano, estava "em um nível completamente diferente" dos ataques anteriores. É fácil entender por que a Ucrânia é um alvo atraente para testar as capacidades de guerra cibernética. O país tem uma infraestrutura semelhante à encontrada na Europa Ocidental e na América do Norte. Mas, ao contrário dos Estados Unidos, do Reino Unido e da União Europeia (UE), a Ucrânia tem recursos mais limitados para contra-atacar (embora os EUA e a UE tenham fornecido apoio para reforçar suas defesas cibernéticas). E, embora a Rússia seja o suspeito óbvio, certamente é possível que outros países, como o Irã, a Coreia do Norte ou a China, também estejam testando suas próprias armas cibernéticas na Ucrânia. O ponto principal aqui é que há poucas chances de que os ataques cibernéticos se limitem à Ucrânia. Os governos e as empresas devem prestar muita atenção ao que está acontecendo lá, porque a guerra cibernética pode - e já se espalhou - rapidamente para além das fronteiras. Como seria uma verdadeira guerra cibernética global? Considerando que os EUA e a UE se uniram para apoiar a Ucrânia, o escopo de uma guerra cibernética pode ser amplo. Escaramuças cibernéticas de grande escala podem se tornar globais devido a um efeito de transbordamento. Há alguns precedentes de como seria um efeito colateral. Em 2017, um suposto ataque russo com um malware apelidado de "NotPetya" gerou disrupção em aeroportos, ferrovias e bancos ucranianos. Porém, o NotPetya não ficou na Ucrânia. O TI se espalhou rapidamente pelo mundo, infectando - e, por um período de tempo, fechando em grande parte - um conjunto diversificado de empresas multinacionais, incluindo a empresa de transporte global Maersk, a gigante farmacêutica Merck, a subsidiária europeia da FedEx, a TNT Express, entre outras. Em minha pesquisa com colegas e investigações de outros, observamos que a maioria dos ataques cibernéticos não foi tão devastadora quanto poderia ter sido. Isso pode ter ocorrido porque o invasor não estava totalmente ciente dos danos que poderiam ter sido causados, mas talvez seja mais provável que esses ataques tenham sido apenas "testes" das armas cibernéticas. Como nossa pesquisa demonstrou, não só é possível fazer com que sistemas como redes elétricas sejam desligados, mas também fazer com que explodam ou se autodestruam - danos que podem levar semanas ou mais para serem reparados. Até o momento, houve poucos ataques desse tipo, mas em alguns casos, usinas siderúrgicas e gasodutos foram destruídos. Provavelmente, o caso mais conhecido foi o ataque cibernético Stuxnet, que se acredita ter destruído cerca de 1.000 centrífugas em uma instalação iraniana de enriquecimento de urânio. Então, como seria uma guerra cibernética real e global? Considerando a interdependência dos setores de infraestrutura essencial, como eletricidade e comunicações, um ataque agressivo provavelmente derrubaria muitos setores ao mesmo tempo, ampliando o impacto. Além disso, em um ataque "sem barreiras" em que o máximo de dano fosse infligido, o objetivo principal seria também produzir danos físicos duradouros. Os dois tipos de ataques cibernéticos Costumo observar dois impactos diferentes dos ataques cibernéticos: direto e indireto. Ataques indiretos: Por indireto, quero dizer que nem o senhor nem o seu computador são alvos individuais. O alvo seria a rede elétrica, as cadeias de suprimentos, os sistemas bancários, o tratamento de água, as comunicações e o transporte. Não há muito que o senhor possa fazer pessoalmente para defender esses sistemas. Mas, até que ponto e por quanto tempo o senhor pode ficar sem eletricidade, comida, água e dinheiro? Ataques diretos: Por direto, quero dizer um ataque direcionado ao senhor. Na guerra, a população civil, deliberada ou acidentalmente, também pode ser alvo para enfraquecer o desejo de continuar a guerra. Na guerra cibernética, os métodos técnicos são bastante semelhantes, mas as consequências podem ser mais pessoais. Por exemplo, e se todos os dados do seu computador forem roubados ou apagados, especialmente se essas forem as únicas cópias de fotos ou documentos? Então, o que o senhor pode fazer para se proteger? Ataque cibernético indireto: O senhor, pessoalmente, pode não ter como proteger a infraestrutura essencial do país. Mas, ao influenciar coletivamente o governo, o setor privado pode ser motivado a melhorar sua proteção, preparação e, talvez ainda mais importante, melhorar sua resiliência diante de tais violações. Muitos podem não perceber que muitos tipos de ataques cibernéticos não precisam ser relatados. Como resultado, o governo e outras empresas semelhantes não têm ideia de que estão ocorrendo ataques cibernéticos, tanto os tentados quanto os reais. Por exemplo, as empresas de oleodutos não eram obrigadas a relatar ataques cibernéticos até depois da publicidade do ataque à Colonial Pipeline. Acredito que os "bandidos" fazem um trabalho muito melhor ao compartilhar informações do que seus alvos, que podem ter interesse em manter silêncio sobre um ataque. Isso precisa mudar se quisermos estar mais bem informados e preparados. Com relação à resiliência de nossa infraestrutura, muitas vezes não percebemos o quanto estamos mal preparados até que seja tarde demais. Um ataque cibernético grave pode ter um impacto semelhante ao de um desastre natural, derrubando a infraestrutura essencial e criando crises em cascata. O TI poderia, por exemplo, se assemelhar ao congelamento do inverno de 2021 no Texas, que gerou disrupções maciças, perda de eletricidade e mais de 200 mortes. E poderia ter sido muito pior. O Texas Tribune informou que a "rede elétrica do Texas estava a 'segundos e minutos' de uma falha catastrófica que poderia ter deixado os texanos no escuro por meses". Há também os danos colaterais. No caso do congelamento no Texas, conforme relatado pelo Conselho de Seguros do Texas, uma associação comercial sem fins lucrativos, "o número de reclamações devido a canos congelados e estourados será diferente de qualquer outro evento que o estado tenha vivenciado". Até mesmo a pressão da água em algumas cidades foi significativamente reduzida devido ao fluxo de água desses canos estourados. Muitas estações de geração de eletricidade tiveram que ser temporariamente interrompidas devido a desequilíbrios de carga, mas depois não puderam ser reiniciadas. Isso ocorreu porque muitas das "unidades de energia de último recurso", basicamente os motores de partida das usinas, não funcionaram, provavelmente por não terem sido testadas. Isso é como descobrir que as baterias de suas lanternas estão descarregadas somente depois que a energia elétrica acaba. As empresas devem exigir garantias de que nossa infraestrutura pode se recuperar rapidamente após um ataque cibernético antes do ataque cibernético e que essas garantias sejam verificadas por auditores independentes. Ataque cibernético direto: A maioria das principais medidas que o senhor pode tomar para evitar, ou pelo menos minimizar, os danos diretos ao senhor e ao seu computador se enquadra na categoria "Higiene cibernética 101". Isso inclui medidas simples, como ter uma senha forte e não clicar em links suspeitos - precauções que, infelizmente, muitos de nós ignoram. Mas agora sabemos que há maneiras de entrar no seu computador, como Solarwinds, Log4j e Pegasus, sem que o senhor faça nada e que não exigem sua senha. Essas são as chamadas "vulnerabilidades de clique zero". Dessa forma, preparar-se para um ataque cibernético significa fazer todo o possível para minimizar os possíveis danos se o invasor conseguir entrar. Isso inclui: Certificar-se de que o software esteja atualizado em toda a organização e que as vulnerabilidades conhecidas em versões anteriores tenham sido corrigidas. Ter um software antivírus e de detecção de malware eficaz - e lembre-se de que o malware pode já estar adormecido em seu computador, aguardando ordens. Fazer backup frequente de seus dados importantes, como documentos que são armazenados apenas em um local, para o caso de serem destruídos. Também vale a pena tomar medidas em sua organização para minimizar o risco e se preparar para responder se (ou quando) o pior acontecer. Isso inclui: Procurar possíveis vulnerabilidades em sua cadeia de suprimentos cibernéticos e pressionar os fornecedores de software de terceiros a priorizar a segurança cibernética. Testar seu plano de resposta a incidentes, incluindo a execução de cenários e exercícios de mesa, para ter certeza de que o plano é sólido e que todos sabem o que devem fazer em uma crise. Houve uma época, nas décadas de 1960 e 1970, em que o mundo temia uma guerra nuclear global. Felizmente, conseguimos superar esse período. Com sorte, também evitaremos uma guerra cibernética global devastadora. Mas não há garantias e, com as tensões geopolíticas subindo a níveis elevados, não é sensato contar apenas com a sorte. Cada um de nós precisa fazer tudo o que puder para aumentar as chances de ser um sobrevivente. Agradecimentos: Esta pesquisa foi apoiada, em parte, por fundos dos membros do consórcio Cybersecurity at MIT Sloan (CAMS).

O que os ataques cibernéticos em andamento da Rússia na Ucrânia sugerem sobre o futuro da guerra cibernética

Resumo.

Partner Center