Por André Baptista (*)

O ataque informático ao Super Bock Group, ocorrido recentemente, provocou grandes restrições no abastecimento ao mercado dos seus produtos, foi apenas mais um numa série que tem provocado diversas vítimas de peso e sem fim à vista.

Já em 2022 a lista de alvos tinha sido impressionante: Agência Lusa, BCP, Câmara Municipal de Loures, Clínicas Germano de Sousa, EMGFA, F.C.P., Impresa, Jornais I e Nascer do Sol, Hospital Garcia da Horta, Sonae MC, S.C.P., TAP, Vodafone, foram apenas algumas entre as que vieram a público porque, como sabemos, sucedem muito mais ataques do que aqueles que são dados a conhecer.

Há, verdadeiramente, uma explosão das ameaças na esfera digital, com danos de centenas de milhares de milhões de euros, e aqueles que são revelados são apenas a ponta do icebergue. Se 2022 foi o que foi, 2023 será com toda a certeza pior em termos de número de ataques, sejam eles massivos e aleatórios, procurando explorar uma vulnerabilidade específica, ou ataques direcionados, por tendência mais letais e mais sofisticados.

Face a isto, o que fazer? Em primeiro lugar, e obviamente, prevenir. Ou seja, temos de olhar para a segurança como olhamos para nossa saúde. Estilo de vida saudável, acompanhamento médico regular e evitar excessos. Porque, como sabemos, ir ao médico apenas quando estamos doentes, pode ser tarde demais.

No mundo da cibersegurança, uma vida saudável significa, desde logo, identificar e testar os sistemas, começando pelo reconhecimento da superfície digital exposta ao exterior. E é aí que entra a segurança ofensiva ou as chamadas ações de hacking ético, que nos identificam as vulnerabilidades e nos permitem focar em corrigi-las, por ordem de prioridade/gravidade.

No entanto, é evidente que é também necessária uma mudança de mentalidade e de consciência, com uma desmistificação do conceito de hacker,  para que cada vez mais responsáveis nas empresas e na administração pública entendam que existem hackers éticos, profissionais dedicados que colocam o seu saber ao serviço da proteção dos sistemas. Lá fora o conceito é tudo menos novo, embora em Portugal ainda percorra o seu caminho das pedras até à consciência da maioria dos decisores. Um exemplo pela positiva é o site da espanhola Iberdrola, onde os visitantes podem ler que os hackers éticos são “os grandes aliados da cibersegurança” e que “os hackers têm conhecimentos específicos que, um ambiente onde a cibersegurança é cada vez mais relevante, se tornaram imprescindíveis no âmbito das empresas. Falamos especificamente do hacker ético ou white hat hacker. Com o seu trabalho, essa figura deteta vulnerabilidades e propõe soluções”. Na verdade, hacker é uma profissão, e os éticos são imprescindíveis para uma cibersegurança robusta e efetiva.

No âmbito de um trabalho de hacking ético, uma empresa pode e deve contratar legalmente uma entidade para testar os seus sistemas através do chamado ataque de segurança. Seja para identificar e solucionar vulnerabilidades, auxiliar a melhorar as garantias de qualidade dos sistemas de segurança, avaliar as condições de compliance com o Regime Geral de Proteção de Dados, ou ter uma percepção do risco de cibercrime a que está exposta.

Assente num código de ética, a nossa atividade como hackers éticos garante que nenhum sistema empresarial ou institucional será comprometido, bem como nenhum dado sigiloso divulgado, entre várias outras garantias como, por exemplo, a do respeito absoluto pela legislação aplicável.

Compreendidos estes conceitos, está na altura de os decisores nas instituições e empresas entenderem que - sem a ajuda de profissionais e de serviços experimentados e testados - não poderão responder eficazmente ao número crescente de ataques por criminosos do ciberespaço cada vez mais sofisticados.

(*) Fundador e CTO da Ethiack