Ano novo, velhas ameaças

Portugal parece estar a enfrentar uma vaga de ciberataques. Ou, pelo menos, essa é a perceção da opinião pública. Depois do incidente que vitimou a Impresa em 2 de janeiro, TAP, Cofina e Germano de Sousa também enfrentaram constrangimentos nos últimos dias relacionados com pirataria informática.

Mas foi o ciberataque à Vodafone que marcou a semana. De longe, o mais grave e consequente de que há memória no país.

Foi na segunda-feira à noite que começou o pesadelo. Milhões de portugueses, empresas e instituições, incluindo infraestruturas críticas, ficaram sem comunicações móveis, sem dados, sem telefone, sem mensagens e sem televisão. Só escapou a internet fixa.

Na terça-feira de manhã, depois de uma noite de trabalho “ininterrupto”, a Vodafone assumia ao país que não se tratava só de um problema técnico vulgar. A falha era o resultado de um “ato terrorista”, um ciberataque “deliberado” para derrubar os serviços da Vodafone e “dificultar ao máximo” a sua recuperação, disse Mário Vaz, CEO.

Alguns setores são pouco suspeitos quando se fala em risco cibernético. É o caso da banca, mas também das telecomunicações, pois investem muitos milhões em cibersegurança e tecnologia, pela natureza e sensibilidade das suas operações. Quero com isto dizer que, intuitivamente, a Vodafone não seria uma escolha óbvia se quiséssemos apostar em qual seria a próxima vítima.

Mais do que especular sobre os autores deste ciberataque e seus motivos, gestores e consumidores têm nestas últimas semanas muita matéria para digerir. Talvez a primeira ilação seja a de que nenhum sistema está a salvo. Não basta só prevenir a ocorrência de um ataque, mas definir um plano de contingência e recuperação para este tipo de incidentes, tratando-os ao nível de desastres naturais como incêndios, inundações e terramotos. Em cibersegurança, não há “se” – apenas “quando”.

A segunda ilação a tirar é que Portugal, enquanto Estado soberano, tem de olhar para mais seriamente para isto enquanto tema de segurança nacional. Esta semana foi a Vodafone. Na próxima, pode ser a Autoridade Tributária ou o Serviço Nacional de Saúde. Como há coisas que não se inventam, esta sexta-feira, o Público noticiou que a legislação portuguesa está tão desatualizada que nem classifica as redes de comunicações como infraestruturas críticas. Teria graça se não fosse trágico.

A terceira ilação a tirar é que o problema da iliteracia digital em Portugal não tem só a ver com o acesso da população à economia digital. Também anda de braço dado com o risco acrescido, porque muitos destes ataques começam num e-mail insuspeito, continuam num clique inocente e acabam em consequências potencialmente devastadoras.

Assim, apostar na literacia digital dos portugueses não tem só a vantagem de combater a desigualdade e a exclusão social. Também aporta benefícios como o reforço da segurança das infraestruturas, empresas, instituições e cidadãos. É, verdadeiramente, um investimento com duplo retorno.

Idealmente, os ciberataques deste ano teriam o mérito de pôr as organizações portuguesas a reforçarem a sua segurança e resiliência. Confesso-me cético de que vá ser assim. Temo, por isso, que cheguemos à conclusão daqui a uns anos de que, afinal, pouco ou nada se aprendeu com isto.