Especialistas em segurança cibernética dizem que o Ocidente não aprendeu lições com a Ucrânia

Viktor Zhora, o rosto público do sucesso da Ucrânia contra os ataques cibernéticos russos, foi recebido como herói no início deste mês no palco do Black Hat, o maior encontro de segurança cibernética do mundo, em Las Vegas.

“O adversário treinou-nos muito desde 2014”, ano em que a Rússia anexou a Crimeia, disse o vice-presidente do serviço especial de comunicação e proteção de informação da Ucrânia. “Evoluímos na época da invasão em grande escala [in February last year] quando a cibernética se tornou um componente importante da guerra híbrida.”

Em um evento em que profissionais de TI pediram selfies e um homem chorou em seu ombro, Zhora também deu um tapinha com Jen Easterly, diretora da Agência de Infraestrutura e Cibersegurança dos EUA. “Retiramos uma grande página do manual da Ucrânia”, disse ela. “Provavelmente aprendemos tanto com você quanto você está aprendendo conosco.”

Mas longe dos holofotes, os delegados do evento argumentaram que os EUA e os seus aliados que ajudaram a financiar as defesas cibernéticas da Ucrânia não conseguiram reflectir sobre a experiência de Kiev.

Executivos cibernéticos disseram ao Financial Times que o Ocidente está lutando para replicar os métodos colaborativos que provaram ser bem-sucedidos no conflito, queixando-se de que estão atolados em obstáculos regulatórios e legais que impedem respostas rápidas que exigem o compartilhamento aberto de informações muitas vezes sensíveis ou embaraçosas. .

“Existe uma realidade na Ucrânia na qual não creio que a maior parte do Ocidente possa realmente se enquadrar”, disse Matt Olney, diretor de inteligência de ameaças e interdição da Cisco Systems.

Olney contou uma altura em que a Cisco, que está envolvida na Ucrânia há mais de uma década, provocou confusão e indignação por parte das autoridades dos EUA com uma proposta para uma atualização radical da segurança do sistema eleitoral de um estado.

“Isto é guerra”, explicou o colega ucraniano de Olney ao responsável estatal quando lhe perguntaram como Kiev responderia a tais exigências. “Eu digo para fazer isso, e eles fazem.”

Os EUA e os seus aliados na Europa e na Ásia já estão envolvidos em agressões cibernéticas e espionagem de baixo nível contra a Rússia, a China, o Irão e a Coreia do Norte. Apesar das tentativas de bloqueá-los, hackers apoiados pelos governos russo e chinês invadem regularmente os sistemas ocidentais, realizando campanhas de desinformação e espionagem.

No mês passado, quando o Departamento de Estado descobriu que e-mails de funcionários focados na China tinham sido pirateados, as autoridades alegaram que tinham recebido informações inadequadas. Isso levou o senador do Oregon, Ron Wyden, a solicitar investigações federais para pressionar a Microsoft, que administra os e-mails do Departamento de Estado, a compartilhar mais dados técnicos por trás da violação.

Da mesma forma, as autoridades do Reino Unido levaram 10 meses para informar milhões dos seus cidadãos no registo eleitoral de que os seus dados tinham sido expostos a um grupo de hackers ainda não identificados que poderiam estar a trabalhar em nome de outro país.

Olney e outros dizem que, quando estas violações são descobertas, as empresas visadas e as agências governamentais demoram a partilhar essas informações, incluindo dados técnicos críticos que desmascarariam tentativas de pirataria semelhantes noutros locais.

“Sou a favor da transparência radical”, disse John Shier, executivo sênior da Sophos, empresa de segurança cibernética sediada no Reino Unido. “É aí que podemos ser mais proativos. É quando podemos ter certeza de que sabemos que outra pessoa está passando pela mesma coisa que você, e vocês podem se unir e garantir que ambos passem o mais ilesos possível.”

Um obstáculo é a classificação feita pelo governo dos EUA de certos detalhes como confidenciais. Robert Lee, que dirige a empresa de segurança cibernética Dragos, disse que esteve envolvido em casos que não foram divulgados imediatamente porque as informações eram confidenciais.

“Há alguma verdade”, acrescentou, na “ideia de que os proprietários e operadores de activos estão apenas a manter segredo”.

Outro problema é a relutância das empresas cotadas em divulgar informações potencialmente prejudiciais por receio do impacto no preço das suas ações, o que levou os EUA a trabalhar em legislação para lidar com a questão. A Câmara de Comércio está contestando as novas regras da Comissão da Bolsa de Valores que exigirão que as empresas de capital aberto divulguem violações materiais no prazo de quatro dias.

Entretanto, várias agências têm autoridades sobrepostas, “criando o caos” em vez de serem disciplinadas, disse Lee.

“Você tem o FBI, o DHS e a CISA tropeçando um no outro e gritando um com o outro”, disse Lee. “E a interagência [fights] Por trás das cenas [are] cerca de 10.000 vezes pior do que qualquer coisa que seja tornada pública.”

Num bar da conferência, um funcionário do departamento de defesa dos EUA puxou uma cadeira para um grupo de profissionais de segurança cibernética e perguntou por que os EUA não foram atingidos por ataques complexos e simultâneos.

O funcionário respondeu à sua própria pergunta: “Dissuasão como defesa. Eles também sabem que estamos nos seus sistemas e, se nos atingirem aqui, apagaremos as luzes em Moscovo.”

Easterly, o diretor da CISA, reconheceu que o progresso na transparência ainda estava em andamento, mas o medo de ataques retaliatórios manteve algum caos sob controle.

“Há algum medo de escalada”, disse ela. “Ainda há pessoas que recorrem primeiro aos seus advogados? Sim. Mas estamos começando a compreender que uma ameaça para um é uma ameaça para todos.”

© 2023 The Financial Times Ltd. Todos os direitos reservados. Não deve ser redistribuído, copiado ou modificado de forma alguma.