Começa agora o novo Explicador da Rádio Observador. Esta manhã falamos sobre cibersegurança depois do novo ataque, este à Segurança Social, e por isso convidámos para estar connosco Bruno Castro, especialista em engenharia informática e fundador da Visionware, e David Silva Ramalho, advogado, especialista em direito intelectual, cibercrime e cibersegurança. A moderação deste Explicador é do Paulo Ferreira.

Viva, bom dia, bem-vindos a este Explicador. Vamos tentar perceber, com a informação escassa que ainda temos em cima da mesa, o que é que se poderá ter passado na Segurança Social. Bruno Castro, começando por si, de facto, há um silêncio muito grande, que é da própria Segurança Social, de entidades públicas, sobre o que se terá passado e eventuais consequências no acesso a dados. O que é que um especialista, que conhece bem estes casos, com a informação que é pública neste momento, nos pode dizer sobre isto?

Bom dia, antes de mais. Vamos lá ver, eu entendo e até julgo ser prudente da parte da Segurança Social e quem anda em torno deste incidente, que tenha algum tempo de maturação daquilo que aconteceu para dar um feedback público para o exterior. Diria que já deram às autoridades, mas só para entenderem, quando há um incidente de segurança, há três ações que estão a ocorrer ao mesmo tempo. Uma que é uma investigação forense para perceber o que é que aconteceu, quando e como, e quem o fez, eventualmente. A outra equipa tem que trabalhar ao mesmo tempo, que é para conter o ataque que poderá estar ainda a ocorrer.

Para fechar as portas, digamos assim.

Exatamente. E conter o ataque para o ataque não se expandir pela Segurança Social e para outros parceiros que possam haver interligação. E terceiro, uma terceira equipa, eventualmente, já montar uma infraestrutura paralela para poder recuperar o desastre. Portanto, é um cenário ultracomplexo, muito crítico, muito estressante para todos que estão envolvidos. Eu admito que só por si será o suficiente para haver este delay, este tempo até dar algum feedback oficial, porque realmente demora tempo.

Ou seja, não vamos censurar, se quiser, estas quase 24 horas, porque poderá haver coisas mais importantes para fazer neste momento do que estar no fundo a prestar contas públicas. Muito bem, mas Bruno Castro, traçando esse cenário daquilo que é, no fundo, uma resposta a uma situação de crise numa instituição como esta, o que é que já se sabe que poderá ter acontecido ali? Tem algumas indicações daquilo que é público, obviamente, sobre métodos de ataque, quem terão sido responsáveis, alguma pista sobre isso ou não?

Não, neste momento, que seja público, não se conhece. É inevitável que se virá a conhecer a curto prazo. Seja pela autoridade, seja pela própria instituição e, no fim do dia, pelo próprio grupo cibercriminoso que irá colocar à venda, eventualmente, informações que roubou ou ativos que sejam valiosos, que vão ser colocados à venda na deep web, dark web, o que seja. Mais cedo ou mais tarde, irá ser conhecido publicamente, porque a informação que foi roubada está a ser vendida e esse é o modelo de negócio do cibercrime, é inevitável.

Já vamos ver como é que isso pode funcionar. David Silva Ramalho, bom dia, bem-vindo também a este Explicador. É advogado e especialista nestas áreas de cibercrime e cibersegurança. Que responsabilidades jurídicas tem uma entidade como a Segurança Social, neste caso concreto, perante os dados de todos nós que tem à sua guarda?

Bom dia. Antes de mais, muito obrigado pelo convite. Nestas alturas, fala-se sempre em responsabilidade da entidade que é atacada. Eu confesso que prefiro não abordar muito esses temas, parece que é uma dupla punição da entidade. Mas concretamente é preciso ver, só por ter havido um ataque informático, não há necessariamente responsabilidade da entidade que foi atacada. É necessário que haja um incumprimento de alguns deveres de proteção, em particular de alguns deveres de cibersegurança que sejam verificados, porque não é simplesmente o resultado do ataque que leva à responsabilização a título sancionatório. E de facto, o regime da cibersegurança prevê um conjunto de contraordenações, em particular quando há administração pública e a Segurança Social, a lei refere-o expressamente, sendo um instituto público integra, está abrangida pelas obrigações de cibersegurança. Na eventualidade de não ter cumprido as obrigações de cibersegurança a que está vinculada, poderá ser alvo de uma contraordenação. Mas isto é um trabalho posterior que tem de ser verificado em função da adequação do sistema de cibersegurança montado. Nós temos dois temas diferentes aqui a discutir. O primeiro será, de facto, aquele que referiu da cibersegurança, mas isso é um pouquinho que já devia estar lá atrás, porque o tema da cibersegurança precede tipicamente o crime. E temos o tema do cibercrime, que é o segundo, e é aquele em que estamos, parece, nesta fase, que é a investigação dos indícios, a recolha de prova e a investigação dos autores do ataque.

Ou seja, o facto de eventualmente, não sabemos se é isso ou não, mas eventualmente terem sido roubados, que é o termo, dados da Segurança Social, a entidade não é necessariamente responsabilizável por isso, desde que tenha tomado as medidas consideradas certas para o evitar. É isso?

Precisamente. Estamos a falar de direito sancionatório, as contraordenações, que é aquilo que estamos a falar, é direito sancionatório e não há direito sancionatório sem culpa. E portanto, se a entidade foi atacada porque teve e porque foi, porque qualquer outra seria, porque tinha as medidas de segurança adequadas, mas os atacantes eram especialmente sofisticados, isto não implica necessariamente responsabilidade para a pessoa coletiva, para a entidade, neste caso. Se a entidade tiver cumprido aquilo a que estava obrigada. Agora, a questão inversa será se não tiver feito, e aí se não tiver feito, poderá responder, quer na perspetiva da cibersegurança, quer na perspetiva da proteção de dados. Mas isso é um segundo momento, que é o momento em que nós avaliamos a inadequação do sistema de cibersegurança implementado.

Certo. Bruno Castro há pouco já estava a falar, eventualmente, daquilo que é o móbil do crime nestes casos. Explique-nos um pouco como é que isso funciona. Haverá um primeiro momento, vamos admitir que de facto é um grupo de cibercriminosos, há um primeiro momento em que por regra se pede um resgate à entidade, e depois que valor e como é que se vendem estes dados na dark web, por exemplo?

Vamos lá ver, a morfologia do ataque varia imenso de acordo com o DNA do grupo cibercriminoso. Cada um tem a sua assinatura e até tem a sua morfologia de ataque. Mas tipicamente, como isso funciona? Há um vetor de intrusão, que é cada vez mais direcionado às pessoas. E quando eu digo pessoas, personas que são atacadas por phishing, por spear phishing, o que seja, redes sociais, LinkedIns, e que utilizam o móvel da pessoa como veículo, como cavalo de Troia, como autoestrada para entrar na organização.

Ou seja, eles seleccionam, imaginemos, um funcionário.

Sim, key users. Até apontam para alguém da equipe informática.

Tenha acessos privilegiados ao sistema.

Exatamente.

E é fazendo essa pessoa, entre aspas, refém ou o sistema dela, que eles entram no sistema.

Não chega a ficar refém, a pessoa muitas vezes nem sabe, é um ataque transparente, ela nem sabe que foi capturada. Ela é apontada, identificada como key user dentro da organização, é atacada para ser comprometida a persona e é usada como veículo para entrar na organização.

Roubam as credenciais e as passwords de acesso dessa pessoa.

Sim, rouba-se a identidade da pessoa ou o veículo do portátil, do telefone, o que seja, para entrar na organização e depois de estar dentro da organização, aí sim, há um movimento lateral, que nós chamamos, para atacar outros sistemas dentro da organização. E aí sim, há o momento antes do verdadeiro ataque ou do mais violento ou mais ruidoso, que é o tempo de permanência oculto, em que o grupo cibercriminoso está na rede e em que a organização não sabe isso, não tem conhecimento disso e ele está a angariar informação e a roubar dados massivos, tipicamente, e está a fazer movimentos laterais para outros sistemas dentro da organização, para depois poder criar mecanismos de persistência na rede a ponto de haver outras portas de entrada, outros mecanismos de reanimar o ataque à posteriori e por aí fora. E depois, no final, de haver montado esse esquema e de roubar os dados que tiver a oportunidade de roubar, então sim, faz um ataque de disrupção, que é o tal dito ransomware, em que faz uma encriptação de dados, depois pede um resgate ou dois resgates, o resgate tipicamente de restauro de serviço, e mais tarde pode haver um resgate de não divulgação dos dados, por exemplo, e por aí em diante. Mas tipicamente o que as pessoas conhecem como o ataque final, que é a encriptação e o ransomware, é usualmente o fim do ataque e não o início.

No fundo, cria quase uma impossibilidade de utilizar o sistema, é isso?

Sim, tipicamente, o que faz é a interrupção da atividade completa para ser violento e ruidoso. E isto, obviamente, tem impacto certamente na gestão, porque a vontade de pagar é muita, porque quer reaver os seus sistemas. E muitas vezes o que acontece é a pressuposição de fazer a recuperação rápida dos dados com cópias de segurança, por exemplo. E naquele tempo de permanência que houve antes, houve mecanismos que foram criados já pelo grupo atacante, que mesmo depois de recuperar os dados e de colocarem as cópias de segurança ativas e por aí fora, eles fazem uma nova onda de ataque, porque eles montaram sistemas que estão lá adormecidos, que vão acordar à posteriori. Daí eu não achar nada incomum, até acho prudente, que do lado da Segurança Social, este tempo de espera para perceber muito bem o que é que aconteceu, o que é que fizeram durante o tempo de permanência, é fundamental, muito mais até, provavelmente, do que foi feito ao nível da encriptação e do ransomware.

Para perceber, de facto, que consequências futuras poderá ter ainda.

Exatamente.

David Silva Ramalho, olhando aqui para a questão mais jurídica também, nós temos verificado nos últimos tempos um aumento, obviamente, dos ataques informáticos. Em Portugal, conhecemos os casos do Grupo Impresa, da Vodafone, Laboratórios Germano de Sousa, da TAP, BCP, também o Estado-Maior das Forças Armadas, enfim, entidades públicas, privadas, algumas delas da área da tecnologia também e, portanto, dá a ideia que as instituições são todas muito vulneráveis a isto ou de alguma forma vulneráveis. Nós temos leis, polícias, tribunais preparados para lidar com estas novas realidades do cibercrime?

Isto, na verdade, são três questões bem colocadas. A primeira é se temos leis. Temos. Leis temos. Aliás, estes ataques informáticos passam por quase todos os crimes da lei de cibercrime. Temos falsidades informáticas, acessos ilegítimos agravados, podemos ter uma sabotagem informática, se o sistema ficar impedido. Temos também no ransomware as extorsões, etc., que está já no Código Penal. E, portanto, lei temos e os crimes estão quase todos previstos. Aqueles que estão na nossa lei decorrem, aliás, da Convenção de Cibercrime, grande parte deles, e, portanto, são iguais em vários países do mundo. A segunda pergunta é se temos polícia para isso. E a nossa polícia está tecnicamente bem qualificada, mas os meios são o que são e nem sempre são os melhores, na medida em que há muitos ataques informáticos, como disse, mas o número da polícia não aumenta substancialmente. Pese embora eles tenham muita competência técnica, por vezes os meios escasseiam. E a terceira é os tribunais. Se a polícia consegue encontrar os agentes do crime, muitas das vezes estão fora de território nacional e, portanto, exige-se cooperação judiciária. Se eles acabarem por ser julgados em Portugal, como é que isto se apresenta aos tribunais? E os tribunais, é preciso recordar que não há tribunais especializados em crime informático, tal como não há tribunais especializados em qualquer outro tipo de crime, porque nem pode haver, porque seria inconstitucional. E os tribunais têm a formação que lhes é dada e a que acedem nesta matéria, como têm em todas as outras. Portanto, não é um grau muitíssimo elevado, salvo alguns juízes e alguns procuradores em particular

É um grau de formação altamente especializada. Por isso é que os tribunais têm a faculdade de se assessorarem com peritos que os ajudem a compreender o que está em causa.

Claro. E já agora, do outro lado também, o David Silva Ramalho é advogado especializado nestas áreas. Não é uma área fácil, tecnicamente é preciso conhecer a fundo. Há muitos colegas seus nesta área ou isto é quase um monopólio seu e meia dúzia deles?

Não diria que é um monopólio, mas de facto não há muitas pessoas especializadas nesta área. Em primeiro lugar, porque ela explodiu relativamente em pouco tempo e, portanto, o que havia antigamente era geralmente os problemas típicos das violências domésticas, em que se entra no Facebook e depois acede-se a mensagens do ex-namorado ou ex-namorada. Isto era algo que por vezes não tinha grande interesse, mas depois evoluiu para as burlas com criptomoedas, para os branqueamentos, para os vários crimes que existiam fora da internet que passaram para dentro da internet e, de facto, é necessário ter algum conhecimento e às vezes assessorarmo-nos também com especialistas, como aliás o Bruno, com quem já trabalhei. Não há grande grau de especialização na matéria, de facto. A Ordem dos Advogados tem feito algumas conferências sobre o tema, o Centro de Estudos Judiciários sei que tem feito também outros, tem havido várias formações sobre esta área, mas é preciso trabalhar muitas vezes em conjunto com a Polícia Judiciária, com a investigação, quando estamos do lado da vítima, ou trabalhar do lado de empresas especializadas quando estamos do lado do suspeito ou do arguido, e perceber quais são as falhas comuns e tentar combatê-las.

Como acontece noutras áreas, nesta com maiores dificuldades técnicas e tecnológicas, de facto. Claro. Bruno Castro, diz-se que a Segurança Social é o pote de ouro para os criminosos informáticos. Por quê? Vale assim tanto a base de dados das nossas pensões, dos nossos descontos, salários e por aí fora?

Vamos lá ver. Eu diria que não é o pote, diria que é um dos potes de ouro que estão disponíveis por aí fora. Obviamente que quando nós atacamos uma rede de Estado ou instituições do Estado, temos sempre a vantagem, isto do lado do cibercrime, estamos a falar sempre de dados massivos, de larga escala, de grande volume. O facto de ser pessoas torna logo muito apetecível para o mundo do cibercrime. O facto de ser muitas pessoas, ainda mais. E o facto de ter informação altamente detalhada sobre as pessoas torna-se ainda mais valioso. Estas três variáveis juntas transformam claramente isto num honey pot ou num pote de mel, uma coisa muito interessante para qualquer grupo cibercriminoso. Provavelmente quem irá roubar não irá utilizar, mas irá comercializar essa base de dados, se é assim que for roubada, e à posteriori, obviamente que irá haver N grupos, outros grupos cibercriminosos que irão utilizar esses dados para fazer ataques, provavelmente não à Segurança Social, diria que não, mas às pessoas. Depois daí vêm as tais fraudes bancárias, fraudes phishing e por aí fora, que são direcionadas às pessoas e que nós todos os dias recebemos, seja por spam, seja por phishing, seja o que seja, redes sociais e afins, que advêm de dados que algures foram roubados e estão a ser reutilizados pelo cibercrime para nos tentar roubar dinheiro. No fim do dia, isso pode não ser cash, pode não ser dinheiro vivo, mas indiretamente será.

E portanto, daí o mote para estes ataques. Com certeza a informação permite outras coisas.

É um negócio muito maduro. O cibercrime não é feito por teenagers. É feito por especialistas que trabalham isto 24/7, é um negócio muito maduro e que dá muito dinheiro. Eles apontam tipicamente, e cada vez mais apontam onde está o valor, e dados de pessoas de forma massiva com muito detalhe é muito valioso.

Bruno Castro, faço-lhe esta última pergunta, que depois também faço ao David Silva Ramalho, que tem a ver com o pagamento de resgates. A tentação no início deve ser grande, imagino, quando se é alvo de um ataque. Aliás, o Bruno há pouco falou disso e da necessidade que as instituições têm de pôr novamente os sistemas a funcionar. Tem ideia se é prática pagar-se resgate ou se é uma coisa absolutamente proibida para não alimentar estas coisas, Bruno?

Do lado da Visionaire, a nossa resposta é muito clara em relação a isso. É não, não e várias vezes, por duas razões. Primeiro, porque estaríamos a alimentar o cibercrime, ponto um, e ponto dois, porque não temos qualquer garantia ao negociar com criminosos. No fim do dia, eles tanto podem dar a chave como podem não dar, tanto podem não divulgar como podem divulgar. Estamos a falar de criminosos, não têm palavra, provavelmente. A nossa resposta aqui é muito clara: não. Não pagar.

David Silva Ramalho, a mesma questão.

Eu tenho uma resposta, uma posição semelhante à do Bruno, claro, mas às vezes é difícil perante uma empresa que teve todo o seu sistema informático encriptado e inclusivamente os backups, dizer-lhes que não vão conseguir mexer mais na empresa, não vão ter acesso mais a dados e que vão ter de fechar portas. Podemos recomendar que não paguem, mas a única coisa que se pode dizer é: não cometerão nenhum crime se o fizerem. Não devem fazê-lo porque desde logo isso vai torná-los conhecidos como uma entidade que paga, o que os torna alvos futuros de novos ataques. Portanto, se algum dia decidirem pagar, preparem-se porque vão ter mais ataques nos próximos dias. E o meu conselho também costuma ser não pagar. Conheço casos, em todo o caso, em que já foi feito o pagamento e foi dada a chave de desencriptação, mas é evidente que pelas razões que referiu.

Correu bem dessa vez.

Correu, mas pode não correr nas outras. É um risco que a empresa corre, que não se deve correr pelas razões que o Bruno adiantou, mas que por vezes, perante o desespero de ter de fechar portas se não se conseguir desencriptar toda a informação que se tem e que ficou toda encriptada por uma falha de cibersegurança prévia, que é muitas vezes ter os backups ligados ao servidor principal. E nesses casos é muito difícil convencer uma empresa para não o fazer, porque é pagar aquele valor e arriscar-se a perdê-lo ou ter de fechar a porta.

Muito bem, fica claríssima essa vossa posição. David Silva Ramalho, Bruno Castro, obrigado a ambos por nos terem ajudado a perceber melhor, não só concretamente o que se poderá ter passado na Segurança Social, mas como é que funciona e o que está por trás desta nova tendência de cibercrime. Obrigado a ambos. Bom dia.

Muito obrigado. Bom dia.

Muito obrigado.