O ano começou com um sobressalto. Logo no dia 2 de janeiro a Impresa, dona da SIC e do Expresso, dá conta de um ataque informático  que impedia o acesso aos sites da TV e do jornal e à plataforma OPTO, mas que afetou também os sistemas internos e o arquivo de informação. A gravidade do ataque do Lapsus$ group foi sendo percebida ao longo dos dias seguintes, com a incapacidade de recuperar alguns dos sistemas e o arquivo, mas este acabaria por ser apenas o primeiro grande incidente daquele que já pode ser considerado um “ano horrível” na cibersegurança em Portugal, mas que os especialistas contactados pelo SAPO TEK dizem que é mais pela mediatização dos casos do que pelo número ou a gravidade dos ataques.

A 7 de fevereiro foi a vez da Vodafone Portugal  sofrer um ataque que Mário Vaz, CEO da empresa, não teve dúvidas de classificar como “um ato terrorista, criminoso, dirigido à nossa rede” e que teve impacto nas comunicações móveis não apenas dos 4 milhões de clientes da empresa mas de toda a população portuguesa e de milhares de empresas, deixando o país em estado de alerta.

A lista de nomes de organizações atacadas continuou a crescer, com os laboratórios de análises clínicas Germano de Sousa  ,  a Sonae MC, o Hospital Garcia da Horta, a agência Lusa , o jornal i e o Nascer do Sol , a TAP, os sites do Sporting e do FC Porto, o Estado Maior das Forças Armadas, o BCP  e a Câmara Municipal de Loures. Mas a estes nomes poderiam juntar-se muitos outros, em Portugal e a nível internacional, com ataques mais ou menos destrutivos e com impacto na operação das empresas e no roubo de dados dos clientes.

Todos os relatórios mostram que o volume de ataques informáticos está a aumentar a nível global, uma realidade a que se assiste há alguns anos e que está ligada à crescente digitalização da economia e à “profissionalização” dos grupos de cibercriminosos que desenvolveram serviços sofisticados que disponibilizam online. E tudo indica que a tendência é crescente.

Os últimos números divulgados no relatório do CNCS para Portugal mostram um aumento de 26% no número de incidentes de cibersegurança em 2021  e a Check Point aponta para uma subida de 42% só no primeiro semestre de 2022, a nível global. Para além dos ataques generalizados, há também tendências preocupantes, como o crescimento das ações de ciberguerra  e dos ataques dirigidos a infraestruturas críticas, como as elétricas, que foram recentemente identificadas num estudo da S21sec.

António Gameiro Marques, Diretor-Geral do Gabinete Nacional de Segurança e do Centro Nacional de Cibersegurança, faz uma leitura transversal dos ataques deste ano e diz que “tem sido um bom abre olhos sobre aquilo que muitas pessoas acham que só pode acontecer aos outros mais acontece a todos”.

Em entrevista ao SAPO TEK, e analisando o volume de incidentes apontados desde o início do ano, afirma que “uma das coisas que se infere daquilo que aconteceu este ano é que mesmo entidades que investem bastante em cibersegurança e que estão bem preparadas, são atacadas com impactos bastante significativos”. Fazendo uma analogia com uma casa, o responsável lembra que por mais bem segura que esteja, basta uma frincha aberta para que quem quer fazer mal, e está a monitorizar em permanência, conseguir entrar. “Quem ataca tem sempre muito mais vantagens do que quem defende”, justifica, apontando a assimetria de investimento que existe e que dá vantagem aos atacantes.

É por isso que a importância do investimento em cibersegurança é realçada por António Gameiro Marques.

“Há uma diferenciação significativamente positiva entre entidades que tendo sido atacadas recuperaram num tempo finito e recuperaram o negócio […] as outras, que estavam menos preparadas, demoram muito tempo, podem nunca voltar ao estado em que estavam e perdem informação para sempre”, explica o diretor geral do CNCS, afirmando que “essa é uma das lições que se tiram dos acontecimentos deste ano”.

Portugal é um alvo especial?

O Threat Landscape Report, um relatório da S21sec que dá uma visão geral das ameaças mais relevantes do primeiro semestre de 2022, mostra que Portugal ocupa o 37º lugar do ranking mundial de ciberataques mas Ricardo Marques, Head of Consulting S21sec Portugal admite que a onda de ciberataques desde o início do ano aparentemente não tem causa direta com a nossa geografia ou infraestruturas específicas de IT. “Houve sim uma correspondência direta com o mediatismo que alguns ataques em Portugal obtiveram, mas reforçamos que se trata de um aumento generalizado e global de ataques, cada vez mais avançados, que tentam explorar todas as vulnerabilidades existentes nas organizações a nível mundial”, defende.

Segundo os dados da empresa, os principais vetores de ataque são a exploração das vulnerabilidades das infraestruturas, o roubo/exposição de credenciais e a realização de campanhas de phishing que permitem despois a distribuição de malware/ransomware, com técnicas cada vez mais avançadas.

Ricardo Marques admite que “de forma geral, consideramos que as empresas estão realmente mais sensíveis ao tema da cibersegurança, e houve uma grande evolução de mentalidade no top management nos últimos tempos. Isso deve-se, não só pela revelação ao domínio público dos vários ciberataques mais conhecidos que aconteceram, como também pelo impacto que tiveram, por exemplo, pela indisponibilidade dos serviços à sociedade portuguesa”.

Mesmo assim há fatores preocupantes e um estudo que a S21sec realizou e concluiu que 36% das empresas não tinha a certeza se os seus colaboradores seriam capazes de prevenir e detetar um ciberataque.

“Os colaboradores são o elo mais fraco da cibersegurança e a porta de entrada para a grande maioria dos ciberataques, logo é imperativo que as empresas tenham consciência desta realidade”, alerta Ricardo Marques, sublinhando a necessidade de apostar na formação.

Ataques muito mediáticos mas apenas a ponta do icebergue

A visão de que há muito mais ataques do que os que são conhecidos é defendida por André Baptista, investigador em cibersegurança e co-foundador da Ethiack, uma startup que desenvolveu uma plataforma de segurança ofensiva. Sem querer partilhar pormenores, ou admitir que tem conhecimento privilegiado em relação a alguma situação, o investigador que já foi considerado o hacker mais valioso de Portugal lembra que há uma explosão das ameaças na esfera digital, com danos de centenas de milhares de milhões de euros, e que os que são revelados podem ser apenas a ponta do icebergue.

“Temos uma grande dependência da tecnologia, que está a avançar sem haver cuidado com a cibersegurança. Se houver uma vulnerabilidade com um ataque mais sofisticado e direcionado, no sector económico podemos assistir a algum tipo de colapso”, avisa André Baptista, reconhecendo que a cibersegurança é um dos maiores problemas da atualidade e que é preciso equilibrar a balança.

“Quem diz que um determinado sistema está protegido com segurança absoluta está a mentir. Isso não pode ser dito no mercado de cibersegurança. Há sempre vulnerabilidades, podemos é identificá-las, mitigá-las e ter mecanismo para as conter”.

André Baptista faz ainda a diferenciação entre os ataques massivos, e aleatórios que procuram explorar uma vulnerabilidade específica, e os ataques direcionados, que são mais letais e que têm um elevado nível de sofisticação, recorrendo não só a tecnologia mas também a engenharia social. “Podem fazer-se passar por um colega numa posição executiva e fazer pedidos de pagamento de faturas, com IBAN alterado”, exemplifica, lembrando que é preciso passar a mensagem de que no digital os cuidados devem ser redobrados.

“Este foi um ano atípico, muito pela mediatização dos ataques, não por existirem mais ataques”, lembra Francisco Nina Rente, que também é empreendedor nesta área e tem uma longa experiência no sector, onde criou a Art Resilia em 2021, defende que este foi um ano atípico. A crescente digitalização das empresas faz com que as ondas de choque destes ataques tenham um efeito de cascata e assumam mais impacto na organização e na cadeia de valor.

“Os ataques sempre existiram e existirão”, explica , sublinhando que há também uma evolução da maturidade das organização que assumem que é uma questão de tempo até serem atacadas. “O que faz a diferença é estarem preparadas para resistir e para recuperar”, avisa, dizendo que a resiliência passa por tentar antecipar e saber gerir a crise.

Mesmo assim assume que esta mediatização dos ataques traz um medo de que esta consciencialização e experiência seja um embuste. , sublinhando que a maturidade é ainda baixa nas organizações e que o investimento em cibersegurança tem de ser feito com a estratégia certa.

“Espero que as empresas não pensem que só aconteceu este ano. Sempre foi assim e à medida que se digitaliza a vida pessoal e profissional vai aumentar”, defende Francisco Nina Rente.

“Muitas empresas passam a mensagem de que o que interessa é investir em “ferro” [hardware e software]  e isso sozinho não faz nada, pelo contrário, cria uma falsa sensação de segurança”, avisa, lembrando que é apenas uma parte do processo que tem de estar em simbiose, entre a tecnologia, a componente humana e processual.

Também André Baptista tem a percepção de que os riscos podem aumentar. “Se este ano foi mau, e eu já estava assustado há 6 ou 7 anos quando comecei a trabalhar nesta área com identificação de vulnerabilidade […] em 2023 nem quero imaginar”, afirma André Baptista, lembrando que todos os meses há mais ataques com maior impacto.

Cooperação é uma das chaves para maior resiliência

Mesmo considerando que o número de ataques vai continuar a aumentar, e que esta é uma tendência inquestionável, o que pode ser feito para garantir uma melhor cibersegurança? Do lado do Centro Nacional de Cibersegurança, a aposta faz-se na prevenção e na formação, que fazem parte dos pilares de atuação do centro que também funciona como estrutura de apoio às empresas e organizações públicas através do CERT, onde a atuação se faz na mitigação dos ataques e recuperação.

“É importante investir na formação da sociedade”, lembra António Gameiro Marques, referindo que há várias iniciativas para que os cidadãos façam um uso mais seguro da tecnologia, o que passa pela literacia digital, mas também para a formação avançada de profissionais nas áreas da cibersegurança. “O objetivo é que no primeiro trimestre de 2026 possamos ter 10 mil profissionais formados em vários percursos com o referencial de cibersegurança”, explica.

O investimento está também a ser feito na prevenção, numa dimensão operacional, sobretudo com as infraestruturas críticas, mas o diretor geral do CNCS coloca também o foco na cooperação como um dos elementos mais relevantes para aumentar a cibersegurança. “Nas autarquias e nas pequenas e médias empresas a chave está na cooperação. Mesmo que tenham conhecimento e sensibilidade têm pouca capacidade de fazer sozinhos”, explica.

Por isso defende a organização associativa, com associações empresariais ou de municípios, que possam criar um centro de operações de cibersegurança partilhado.

A recomendação que deixa também é que “invistam muito na formação dos quadros, não só dos profissionais de TI, com formação prática, em situações em que possam aprender com a experiência”.

Ricardo Marques alerta ainda que “é importante que as organizações percebam que não vale a pena avançar-se para um investimento em soluções de cibersegurança sem antes se fazer uma análise profunda à realidade do negócio da empresa, aos seus riscos, aos seus ativos e à relação que tem com os diversos parceiros”.

A recomendação é que as empresas invistam na proteção, mas também, paralelamente, que apostem na sua capacidade de monitorização, deteção e resposta através de serviços especializados de monitorização de segurança prestados desde um SOC (Security Operation Center) e na capacidade de recuperação de ciberataques.

André Baptista deixa também a ideia de que as organizações devem preparar-se para uma segurança ofensiva, com a monitorização de vulnerabilidades através de ações de hacking ético. A Ethiack criou uma plataforma que pode permitir mesmo às empresas de pequena dimensão lançar eventos de hacking ético e testar os sistemas ativamente para gestão de vulnerabilidades e de superfície de ataque. “Tem de haver mudança de mentalidade e consciência de que há hackers que querem proteger os sistemas”, sublinha.