Dispositivos de casa inteligentes mal protegidos são usados em ataques de negação de serviço contra a infraestrutura digital da Noruega

Televisores, roteadores, geladeiras e câmeras de segurança em residências norueguesas, com configurações de segurança fracas, estão sendo capturados e utilizados para atacar sites e serviços digitais. A Noruega sofreu recentemente vários ataques de negação de serviço distribuída de grande intensidade. Esses ataques foram direcionados ao setor público e à infraestrutura digital nacional. Entre os serviços afetados estão o ID-porten, o Helsenorge e o Altinn. As autoridades afirmam que os atacantes não conseguiram acessar os sistemas internos e que nenhum dado sensível foi roubado. Especialistas técnicos descrevem os incidentes como ataques de sobrecarga puros, e não como invasões para roubo de dados. Há uma certeza absoluta de que novos ataques ocorrerão. A questão central é se a sociedade está vivendo em uma falsa sensação de segurança e se está preparada para lidar com os próximos eventos. Há o temor de que a situação esteja gerando uma calma perigosa, sem que a totalidade e as consequências reais sejam compreendidas. Um ataque de negação de serviço é, em essência, simples e, na maioria dos casos, inofensivo. Um serviço é inundado com tráfego falso vindo de milhares de máquinas até que colapsa sob o próprio peso. Não há invasão de sistemas nem roubo de informações. O serviço apenas se torna inacessível, muitas vezes por um período limitado, como algumas horas ou dias. Por isso, é tentador descartar o incidente como apenas um incômodo. Uma página de login fora do ar por algumas horas é irritante, mas raramente é considerada uma crise. No entanto, o caso atual não envolve sites comuns.

O Helsenorge é usado diariamente para o tratamento de informações de saúde e serviços digitais de saúde. O ID-porten é a porta de entrada para grande parte da Noruega digital. Quando esse tipo de infraestrutura se torna inacessível, o problema deixa de ser apenas de tecnologia da informação. O ataque cibernético à solução de identificação da Digdir tornou impossível, em alguns momentos, enviar mensagens através do Digitoll. O que começou como um ataque a um serviço digital resultou em filas de caminhões na fronteira. O ataque digital teve, portanto, consequências físicas. Em casos extremos, tais eventos podem envolver questões de vida e saúde. A intenção desses ataques raramente é destruir algo permanentemente. O objetivo é criar perturbação e incerteza e, no pior dos casos, a perda de confiança nos serviços públicos. A ameaça em si nunca poderá ser totalmente eliminada. É necessário decidir o quão bem preparados estamos para a próxima vez que ela ocorrer. A ironia é que, com frequência, são as próprias máquinas dos cidadãos usadas nesses ataques. Dispositivos de casa inteligentes mal protegidos, como televisores, roteadores, geladeiras e câmeras, são capturados e usados para atacar sites e serviços digitais. A sociedade está construindo cada vez mais vulnerabilidades em suas próprias salas de estar, sem considerar que esses dispositivos se tornam peças em uma rede de bots quando alguém deseja atingir a Noruega. O problema não pode ser resolvido apenas pelo departamento de tecnologia da informação. A responsabilidade recai sobre a liderança. Observa-se repetidamente que a conversa sobre segurança e os relatórios para reuniões de liderança e conselhos são desvalorizados.

O status é frequentemente embelezado antes de chegar ao topo. Especialistas técnicos deixam de apresentar fatos desagradáveis porque concluem antecipadamente que a liderança não entenderá ou não terá interesse. Há lideranças que desejam ativamente que o problema seja resolvido apenas na tecnologia da informação, sem questionar por que não deveria ser elevado a níveis superiores. As empresas continuam a desvalorizar a segurança na prática. Departamentos de segurança são desativados. Cargos de segurança são criados sem mandato real ou autoridade para agir. Os especialistas técnicos possuem o conhecimento, mas não têm assento na mesa onde as decisões são tomadas. Esse padrão se repete e indica o quão seriamente a situação é levada. A segurança cibernética não é mais uma questão técnica que pode ser delegada e esquecida. É um risco de negócios, comparável a finanças, reputação e operações, e deve ser tratado como tal. É necessário dar mandato onde ele pertence. Os especialistas técnicos devem ter tempo de fala em grupos de liderança e ao redor da mesa do conselho. É fundamental garantir conhecimento e competência suficientes entre os tomadores de decisão. Os ataques das últimas semanas foram um lembrete, não uma exceção. O próximo ataque virá. Isso é absolutamente certo. A questão sem resposta é se a liderança e o conselho levaram a sério sua responsabilidade antes que esse dia chegue, ou se estaremos novamente aqui, com voz calma, explicando que ninguém entrou nos sistemas desta vez também.