O diretor do SIS diz que o país tem estado sob ataque de “atores estatais”, que pretendem roubar informações “confidenciais” — e que ao fazerem-no comprometem a soberania de Portugal. Os especialistas em cibersegurança ouvidos pela CNN Portugal encontram um "ator" que se enquadra na descrição de Neiva da Cruz: a Rússia. Dizem que os ataques "são profundamente orquestrados" e que "muitas vezes envolvem agentes no terreno"
A declaração é preocupante. O diretor dos Serviços de Informações de Segurança, o SIS, afirmou esta segunda-feira que Portugal vem sofrendo “ataques de atores estatais”, não referindo que “atores” são, mas referindo que pretendem “recolher em Portugal informação confidencial”. Foi durante uma conferência organizada pelo Diário de Notícias, dedicada ao novo regime jurídico da cibersegurança, que Adélio Neiva da Cruz disse ainda que os ataques sofridos “têm por objetivo a soberania de Portugal”.
Mas a declaração é igualmente vaga. E os especialistas em cibersegurança que a CNN Portugal ouviu consideram as declarações, por um lado, “um lapso de boca”, que nos serve de aviso, e, por outro lado, “óbvias”, pois o país interessa enquanto alvo ao “ator” Rússia, “sobretudo por razões militares”.
O ex-coordenador do Centro Nacional de Cibersegurança, Pedro Veiga, prefere resfriar qualquer pânico criado. Há ataques, mas também defesas, Portugal está hoje defendido. E contra-ataca quando necessário. “Sistematicamente, não referimos que há em Portugal o Centro de Ciberdefesa. Fala-se muito do Centro de Cibersegurança, mas existe um Centro de Ciberdefesa, no seio do Ministério da Defesa, que tem a meu ver um papel muito relevante na proteção das infraestruturas de segurança do país.”
Enquanto na cibersegurança há uma “percetiva de prevenção, de proteção”, a ciberdefesa pode realizar ataques “se se identificar que um país nos atacou também”, explica Pedro Veiga. “Suponhamos que uma determinada rede estrangeira se está a infiltrar na soberania do país, a colocá-la em causa: a cibersegurança tentará filtrar esses ataques, mas caberá à ciberdefesa eliminar a perturbação.”
Pedro Veiga, ao contrário do diretor do SIS, não hesita em chamar o atacante pelo seu nome. “Internacionalmente, sabe-se que a Rússia é perita em fazer estes ataques, digamos, em todo o lado ao mesmo tempo, atacar outros países, atacar infraestruturas e roubar informações, fazer espionagem recorrendo às novas tecnologias digitais.” Ainda segundo este antigo homem-forte da cibersegurança portuguesa, a Rússia pode estar por detrás dos ataques, mas não é o único ator conhecido.
“Há outros atores internacionais, mas talvez sem tanto interesse em Portugal, como Israel e a China. A China parece mais interessada em atacar as infraestruturas de empresas para roubar alguns segredos industriais”, explica Pedro Veiga, levantando o véu sobre uma “empresa portuguesa especializada em drones”. “Os drones, como todos bem sabemos, são importantes, muito importantes até, nos conflitos, nas guerras. Não é, pois, de espantar que existam tentativas de espionagem dessa área, dessa empresa ou de outras empresas, que até têm contratos feitos com a Defesa portuguesa. A espionagem também pode ser para roubar segredos industriais que têm interesse em conflitos”, aponta.
Outro especialista em cibersegurança, e ciberterrorismo, Nuno Mateus-Coelho, diz ter ouvido “sem surpresa” as declarações de Adélio Neiva da Cruz. “Não é uma novidade este tipo de ataques. Há-os em Portugal, em Espanha, em França, na Itália, na Grécia. São ataques muito parecidos”, refere. Segundo Mateus-Coelho, os ataques vêm de duas frentes, mas acabam por desaguar numa só: um “grande Estado”, talvez (e como já referia Pedro Veiga) a Rússia.
“Por um lado, há grupos supostamente anónimos, mas onde se encontra, com o devido estudo, correlação com entidades governamentais. Aliás, há países com autênticas empresas, ou empresas mesmo, dedicadas à ciberespionagem e ciberataques, e que têm como seus ‘clientes’ entidades estatais. É o chamado gato escondido com o rabo de fora. Depois, há as próprias nações que têm ciberexércitos, como a Rússia.” O Exército português “já sofreu ataques no passado recente”, relembra Mateus-Coelho, “e também já perdeu dados”.
“Estes são golpes profundamente orquestrados, que não acontecem só cá, ataques com grande sofisticação, que muitas vezes envolvem ter agentes no terreno, envolvem deslocar fisicamente alguém. Pouca gente sabe isto. Não são ataques de grupos pequenos. São ataques de grandes Estados, porque atacam com relativo sucesso infraestruturas imensamente protegidas, como as portuguesas”, analisa.
O especialista em cibersegurança vê Portugal como “um trampolim” dos Estados Unidos. E é por saber que há um interesse estrangeiro, nomeadamente, ou hipoteticamente, da Rússia. “Qualquer ação militar dos EUA, secreta ou não, passa por aqui, e pelas Lajes, antes de rumar à Europa. Portugal é um pequeno player, mas, tanto para os norte-americanos como até para a NATO, não é um player insignificante”, defende.
Segundo Mateus-Coelho, os ataques à soberania de que hoje falou o diretor dos Serviços de Informações de Segurança podem ser uma espécie de aviso. Para o interior e para o exterior. “Acredito que muitos destes ataques a Portugal sirvam para mostrar aos EUA e à NATO que sabem o que se passa aqui. Ou o que passa por aqui. Ao mesmo tempo, servirá para demonstrar que somos um ponto fraco do processo.”
O ex-coordenador do Centro Nacional de Cibersegurança acredita também que aos atacantes “pode interessar alguma informação sensível” do Ministério dos Negócios Estrangeiros e do Ministério da Defesa. Mas enumera outros interesses: “Por um lado, não podemos ignorar que o secretário-geral das Nações Unidas é português. Tem ligações com diversos países, sim, mas é português. Há informação relevante em Portugal relacionada com ele. Por outro lado, Portugal tem várias infraestruturas de cabos de fibra ótica, vindas da América do Norte, da América do Sul e de África. ‘Aterram’ em Portugal. E se se souberem determinados detalhes sobre esses cabos, isso pode vir a ser usado numa futura guerra híbrida. Aliás, nem há duas semanas houve incidentes graves no Mar Báltico quando um navio de propriedade chinesa rebentou com estes cabos de fibra ótica”, lembra Pedro Veiga.
"Em Portugal são poucas as empresas defendidas"
Apesar dos riscos, da soberania eventualmente acossada, Nuno Mateus-Coelho diz que o que o diretor dos Serviços de Informações de Segurança teve foi um “lapso de boca”. “Mas um lapso de boca que demonstra a pertinência, e pertinência imediata, da regulamentação da cibersegurança e de se criar regras básicas de cibersegurança na Europa e em Portugal. Por outro lado, só pelo facto de utilizar a palavra ‘soberania’, isso já elevou a fasquia da declaração”, explica.
Para o especialista em ciberterrorismo, o que pode vir a colocar em xeque a soberania de Portugal não será uma eventual ingerência eleitoral. “Porque uma eleição por si só não poderá contestar a soberania portuguesa. É o poder militar, e não o político, que poderia levar à perda de soberania. Estamos a falar, talvez, de tentar intrometer-se na cadeia de defesa do Estado. Se se consegue manietar a cadeia de telecomunicações de Defesa nacional, aí sim, colocamos uma nação em sobressalto. Eu disse que foi um lapso; se calhar foi antes um aviso”, adianta, noutra leitura.
Por sua vez, Pedro Veiga, e embora diga e reconheça que Portugal “está seguro hoje”, lamenta que as autoridades, “quando são confrontadas com desafios nesta área da cibersegurança”, tendam a não investir. “Há um exemplo que costumo dar muitas vezes: um hospital, e a Saúde é um dos setores mais atacados por cibercriminosos, tem um certo orçamento e o responsável de cibersegurança pede dois milhões de euros para se reforçar as equipas e as estruturas. Ao mesmo tempo, os médicos pedem os mesmos dois milhões para aumentar a ala da maternidade. O que é que faz a administração? Eu apostaria que vai investir na maternidade e não na cibersegurança. E depois admiram-se que as coisas falhem”, lamenta.
Nuno Mateus-Coelho acredita que uma solução para proteger melhor, e eficazmente, o país é acelerar a implementação do novo regime jurídico da cibersegurança, que é resultado de uma diretiva europeia, a “Network and Information Security”, ou NIS 2, que aperta as regras e a fiscalização às vulnerabilidades de cibersegurança nos setores público e privado.
“O que o NIS 2 nos diz é que as empresas, todas, e as entidades, todas, têm de ter mínimos olímpicos de segurança. Em Portugal, em relação à Europa, estamos atrasados na implementação e estamos a correr contra o tempo”, lamenta. Ainda assim, diz, defender a soberania é, cada vez mais, criar novas barreiras aos atacantes.
“Na segurança informática há uma coisa fenomenal, e fundamental, chamada ‘defesa em profundidade’. Que é um termo que se vai buscar à tradição militar. Temos a chamada ‘defesa de perímetro’, que são as firewalls, que protege tudo à volta das nossas organizações, à volta das grandes empresas, tudo à volta do país. Mas uma vez ultrapassada essa barreira exterior de segurança, não podemos ter o caminho aberto. Ou seja, pelo caminho é necessário ir colocando mais e mais barreiras. E essas barreiras estão descritas no NIS 2. Na sociedade portuguesa são poucas as empresas defendidas, protegidas, quer a nível de perímetros, quer a nível de profundidade”, conclui.
