País tem recorde de ataques de hackers, com invasão de sistemas do governo e venda de senhas de servidores - Antropofagista
Celeste Silveira 21 de dezembro de 2021 1 COMMENT
Ocorrida há mais de dez dias, a invasão ao ConecteSUS, Painel Coronavírus e DataSUS expôs mais as fragilidades da rede da União do que a habilidade dos criminosos.
Sem investimento em tecnologia de informação, o governo federal, responsável por guardar dados sigilosos de milhões de brasileiros, vive uma "ciberinsegurança". Ocorrida há mais de dez dias, a invasão de hackers ao ConecteSUS, Painel Coronavírus e DataSUS — que monitoram a evolução da pandemia e da vacinação no país — expôs mais as fragilidades da rede da União do que a habilidade dos criminosos. Isso foi constatado em uma auditoria do Tribunal de Contas da União (TCU) que, em maio, identificou que 74% dos órgãos da administração federal não têm uma política padrão de backup e 66% das instituições não armazenam arquivos criptografados. Com a consolidação do home office e o processo de digitalização do serviço público, o Brasil virou um terreno fértil para ataques virtuais, informa O Globo.
De acordo com o GSI, em 2020 o país bateu o recorde de ocorrências cibernéticas, com 24.300 registradas. Os bancos de dados da Saúde derrubados ainda não foram completamente restabelecidos, o que sugere, de acordo com especialistas, que o problema é mais complexo e que os invasores podem ter tido acesso à nuvem (arquivo virtual dos dados) dessas instituições. No início, as autoridades tentaram minimizar a gravidade da invasão e a classificaram como "pichação virtual". Mas relatórios internos do Gabinete de Segurança Institucional (GSI) e do TCU mostram que a realidade dos sistemas públicos propicia o crime: senhas fracas, ausência de criptografia e de ferramentas de duplo fator de autenticação, baixos investimentos em antivírus e em equipes de Tecnologia da Informação.
Um dos suspeitos é o grupo hacker Lapsu$, que reivindicou a autoria do ataque. O grupo de origem russa é relativamente novo e com baixa reputação em fóruns hackers, que costumam ranquear os ataques cibernéticos dependendo do dano provocado — além dos proveitos financeiros, os cibercriminosos gostam de exibir os seus feitos na internet. Nos últimos dois anos, o Lapsu$ disse ser responsável ofensivas virtuais contra a empresa de games Eletronic Arts e a Apple Music, segundo informações levantadas por Soares. Portanto, este seria o primeiro ataque do grupo a uma entidade brasileira.
Não é difícil encontrar oferta de datacenters ou pen-drives com dados confidenciais de brasileiros, de R$ 300 a R$ 1.500, em fóruns na dark web ou em lojinhas escondidas na Praça da Sé, centro de São Paulo. As informações armazenadas nos sistemas do Ministério da Saúde são valiosíssimas por terem os registros atualizados de mais de 200 milhões de cidadãos, com os nomes do pai e mãe, identidade, CPF, número do celular e o endereço, tendo em vista que a maioria teve que se cadastrar recentemente para se vacinar contra a Covid. Com esses dados em mãos, os criminosos conseguem abrir contas no banco, fazer empréstimos, cartões de crédito e até se filiar a algum partido político.
Os ataques de cibercriminosos mais graves contra o setor público brasileiro aconteceram no Superior Tribunal de Justiça (STJ), em novembro de 2020, e na Secretaria do Tesouro Nacional, em agosto deste ano. Ambos ainda são investigados. No primeiro, os hackers teriam entrado no sistema, criptografado as informações e pedido um resgate em bitcoins para liberá-las. Como a instituição não pagou, o grupo hacker apagou os arquivos levando os funcionários do STJ a recorrerem ao último backup do sistema, que precisou ser atualizado posteriormente. No segundo, há a possibilidade de os criminosos terem tido acesso a informações super sigilosas da economia do país. Há duas semanas, o sistema interno da Polícia Rodoviária Federal foi derrubado. O órgão informou que houve um "incidente de segurança", mas sem vazamentos. No mercado privado, a fornecedora de carne JBS fez um comunicado oficial, em junho, dizendo que pagou R$ 55 milhões a cibercriminosos para recuperar seus dados após um sequestro virtual (ou ransomware).
— Não adianta proteger só o seu perímetro. Para um ataque hacker, basta entrar pela porta dos fundos — avalia a advogada Patrícia Peck, presidente da comissão de proteção de dados da OAB-SP e integrante do Conselho Nacional de Proteção de Dados Pessoais e Privacidade (CNPD). — O Brasil não fez o seu dever de casa.