Verificou-se no passado 12 de maio um ciberataque à escala mundial baseado num virus/malware que combina capacidades de codificação de ficheiros e extorsão (ransomware) e auto-propagação (worm). A componente ransomware denomina-se WannaCry e a componente de propagação baseia-se numa técnica/ferramenta desenvolvida pela NSA – uma agência norte-americana de segurança - denominada EternalBlue e que caiu em mãos criminosas. O ataque foi executado de forma simultânea a nível global, tendo afetado centenas de milhares de computadores em mais de 100 países.
O malware explora uma vulnerabilidade do sistema operativo Windows para infetar outros computadores vulneráveis na mesma rede local que as máquinas inicialmente infetadas, atingindo-se velocidades de propagação elevadíssimas. A vulnerabilidade do sistema operativo Microsoft Windows explorada por esta versão do WannaCry assenta em fragilidades do subsistema de partilha de ficheiros, mas que foi já anunciada e corrigida pela própria Microsoft em 14 de março de 2017, o que indicia que muitas instituições por todo o mundo não atualizam os seus sistemas com a frequência adequada. De forma geral, o impacto produzido por este malware, ou de outros similares, pode se associar a várias causas:
1. Problemas de consciencialização/formação dos colaboradores do setor empresarial – A execução por colaboradores de anexos de emails "suspeitos" é muitas vezes a via de entrada de malware nas instituições. Neste caso em concreto está praticamente descartada a hipótese de ter sido este o mecanismo usado pelo malware para infetar as instituições;
2. Velocidade de respostas das empresas na aplicação de patches ou correções Windows ou de outras empresas fornecedoras de software – Uma resposta lenta na aplicação destes patches ou correções pode colocar uma empresa numa situação de desproteção. No que respeita a este incidente em concreto, é uma verdade incontornável ter sido esta a causa-raiz do problema em todas as instituições;
3. Capacidade de as empresas detetarem que estão a sofrer os efeitos de um ataque – O pânico gerado pelo desconhecimento e visibilidade do que se passa na sua rede e no mundo em geral faz com que medidas exageradas, com impacto na marca e no negócio, sejam tomadas pelas instituições. Neste caso em concreto, foram muitas as que ordenaram aos funcionários que desligassem os seus computadores pessoais e que cortaram o acesso à Internet de toda a instituição.
Considerando o acima exposto, várias práticas devem ser tomadas para evitar infeções de malware como o WannaCry. A aplicação frequente das últimas atualizações aos sistemas operativos e aplicações, a monitorização permanente de alertas e indicadores vários internos à rede das instituições - bem como do que é reportado pela comunidade relativo ao verificado noutras organizações – e a revisão permanente das ameaças e das ações de mitigação dos riscos associados a estas.
Estas práticas dependem da edificação de uma cultura de "Intelligence" nas instituições, em que a tomada de decisão assenta na recoleção, processamento e análise de informação de várias fontes, algumas internas mas muitas externas.
Acredito que a pressão provocada pelos incidentes de segurança que sofrerão devido à incapacidade de dar resposta rápida vai obrigar a que as empresas se dotem dos meios adequados. Do mesmo modo, as instituições que detêm equipas de Strategic Intelligence ou Competitive Intelligence, também passarão a deter equipas (ou serviços contratados a terceiros) de Cyber Threat Intelligence.