Brasil precisa prestar mais atenção em cibersegurança, diz especialista
RIO — Formado na mais conceituada faculdade da antiga KGB, o russo Eugene Kaspersky é considerado um dos maiores especialistas em segurança cibernética do mundo. Seu interesse por vírus de computadores começou no fim da década de 1980 e, em 1997, ele fundou a fabricante de antivírus que leva seu nome, hoje uma das cinco maiores empresas do setor.
Com tantos anos de experiência no setor, como o senhor avalia a preparação do Brasil para a segurança cibernética dos Jogos Olímpicos?
Eu me preocupo que, no Brasil, talvez não se dê atenção suficiente para a cibersegurança dos Jogos Olímpicos. Até onde eu sei, talvez eu esteja errado, eles usam apenas os sistemas básicos de segurança, e a nossa experiência diz que isso não é suficiente. Nós protegemos a Olimpíada de Inverno em Sóchi, na Rússia, e a segurança para esse tipo de evento não se resume à instalação de soluções de segurança na rede. É preciso montar times dedicados de respostas a incidentes. O Brasil ainda tem tempo de fazer isso.
Como foi a experiência de vocês nos jogos em Sóchi?
É claro que temos soluções, mas além disso, temos pessoas na linha de frente, com especialistas em segurança, que estavam lá nas instalações dos Jogos Olímpicos. Em caso de incidente, caso seja necessária a atuação física nos sistemas atacados, eles estão lá. Eles estavam dormindo lá, como uma força especial. No escritório, nós tínhamos analistas e engenheiros de prontidão para atuar, se necessário. Eram cerca de 50 pessoas mobilizadas, sendo que a Olimpíada de Inverno é muito menor e mais simples que os jogos de verão. E Sóchi era uma cidade nova, construída para a competição, então não existia problema de transportes. Tudo era perto, dava para ir a pé em dez minutos. Qualquer emergência a mobilização era ágil.
Houve ataques?
Ao fim dos Jogos Olímpicos de Inverno, eles reportaram mais de mil ataques, de todos os tipos. Houve tentativas de penetração no sistema, infecção criminosa, botnets, ataques DDoS (distribuído de negação de serviço), menos ataques industriais. Não aconteceram ações contra a infraestrutura física. Alguns dos ataques foram bem-sucedidos, mas nós estávamos lá para consertar. Houve muitos ataques, mas o impacto foi zero.
E a realização dos jogos no Brasil coloca o país no radar dos criminosos cibernéticos, não é?
É claro! É um dos maiores eventos do mundo. Claro que os caras bons estão lá, mas os maus também. Pode haver questões políticas, nações interessadas, qualquer tipo de criminoso, ou até fãs descontentes, quem sabe? Existem diferentes cenários, e vocês devem estar preparados.
Isso é para a proteção da rede dos jogos. E a população, as empresas brasileiras, também podem se tornar alvo?
Eu vejo a evolução das ameaças cibernéticas há mais de 25 anos. Tudo começou com ataques muito simples, depois ficaram mais complicados. Apareceram os ataques criminosos, depois o crime organizado e quadrilhas internacionais. Agora, estou esperando pelos terroristas. Também existem diferentes grupos de vítimas: os indivíduos, as companhias e as indústrias. Proteger os indivíduos é mais simples, porque só os criminosos cibernéticos miram neles. As empresas são um pouco mais complicadas, mas é possível. Mas a defesa do setor financeiro e da infraestrutura física está se tornando muito difícil, porque os criminosos são muito profissionais e os sistemas são vulneráveis.
É possível acontecer algum ataque contra a infraestrutura crítica, como o sistema financeiro ou redes elétricas?
Eu estive em Itaipu, não na sala de controle, mas em outras instalações. Claro que é altamente computadorizado, e eles usam Windows e Linux, sistemas que são vulneráveis. E eles estão conectados, fazem parte do sistema elétrico. Esses sistemas são vulneráveis e, infelizmente, existem quadrilhas profissionais que são capazes de atacar esses sistemas industriais. As motivações podem ser diferentes. Criminosas, para conseguir dinheiro, como os ataques contra bancos. Para a infraestrutura física, pode ser para chantagem. Ataques terroristas e militares.
Em dezembro do ano passado houve o caso da Ucrânia…
Existem rumores, mas ainda não temos certeza. Existiam sistemas infectados e aconteceu um apagão, mas nós ainda não encontramos provas que a infecção foi a causa do incidente. Pode ter sido uma coincidência. O que nós sabemos é que, no ano passado, houve um ataque contra uma usina de aço na Alemanha. Um malware paralisou a produção e, para uma usina de aço, isso é fatal. Não é possível consertar, precisa fazer uma usina nova. Isso pode acontecer em qualquer lugar.
Os sistemas industriais, conhecidos como SCADA, são realmente vulneráveis?
Há 20 anos, ninguém pensava nesses ataques, então os sistemas não foram desenvolvidos pensando em segurança. Agora, todo mundo está preocupado, mas os sistemas já estão prontos. O ideal seria refazer todo o sistema, mas isso não é possível. O que eu recomendo é que, a partir de agora, tudo seja pensado de forma segura, para que daqui a 20 anos, todo o sistema esteja seguro.
A maior preocupação com os sistemas industriais é com o terrorismo cibernético. Nós sabemos que grupos como o Estado Islâmico têm forte presença na internet, usam de forma eficiente as redes sociais, mas eles também têm capacidades para ataques cibernéticos?
Entre as estratégias dos traficantes de drogas para levar cocaína da América Latina para a Europa é o uso de contêineres. Eles vão de navio, chegam no porto, mas aí eles precisam encontrar uma forma de recuperar essa droga. Como fazer isso de uma forma fácil? Eles contrataram hackers para invadirem o sistema de portos e liberarem a droga. Isso aconteceu em 2013, na Bélgica. Toda a parte física foi feita pelos traficantes, mas a parte cibernética, eles contrataram. Se os terroristas quiserem fazer algum mal, eles não precisam ter a capacidade, eles podem contratar.
