A falha global nos serviços da Microsoft não foi obra de um ciberataque, mas pode colocar em risco a cibersegurança de vários utilizadores. O especialista em sistemas informáticos Nuno Mateus-Coelho alerta que os internautas devem ter atenção redobrada a todas as comunicações que receberem nos próximos dias
A Microsoft afastou a possibilidade de que a interrupção global dos serviços tenha sido originada por um ataque informático, garantindo tratar-se de uma falha. Mas apesar de não ter sido um ciberataque, utilizadores e empresas devem estar atentos ao longo dos próximos dias. Isto porque existe um risco real de burla. A falha global da Microsoft levou já, aliás, vários bancos a alertar clientes.
Nos próximos dias poderemos ter um aumento dos "ataques de engenharia social" contra organizações e utilizadores singulares, avisa Nuno Mateus-Coelho, especialista em cibersegurança. O professor da Universidade Lusófona explica que o modus operandi deste tipo de crimes vai assentar em "campanhas de e-mails com ligações enviadas a administradores de sistemas" cuja mensagem vai "indicar que é necessário recuperar contas ou seguir determinados procedimentos para restabelecer serviços" e que têm como propósito final "capturar credenciais".
Em empresas, as eventuais burlas serão sempre em torno de mensagens como "a sua configuração de correio não está a funcionar" ou "o seu sistema está em baixo" ou "é necessário entrar nesta plataforma da Microsoft" ou "tem proceder a determinadas alterações técnicas para voltar a ter acesso a alguns serviços". "Os administradores, pressionados pelos colegas e pela organização onde trabalham, podem acabar por fornecer credenciais ou fazer alterações que permitam ao atacante entrar na infraestrutura", indica Nuno Mateus-Coelho.
No caso do utilizador comum, o especialista sublinha que o "problema é ainda mais complexo", uma vez que o internauta comum "não tem a mesma exposição tecnológica de um administrador de sistemas". Nuno Mateus-Coelho alerta que "quem quer aceder à caixa do Outlook, ao Office Online ou ao SharePoint pode ser bombardeado com ligações que prometem corrigir o problema" e lembra que "há utilizadores que vão clicar porque acreditam que a ligação resolve o problema".
"Podem acabar por dar acesso ao telemóvel, ser encaminhados para a instalação de malware ou de outro sistema malicioso ou, simplesmente, permitir o acesso às suas plataformas, e-mails, contas e palavras-passe", detalha.
"Os bancos também utilizam serviços da Microsoft"
Nuno Mateus-Coelho realça ainda que há "outro risco" que é altamente preocupante: "Os bancos também utilizam serviços da Microsoft". E por isso não estranharia que nos próximos dias vários utilizadores recebessem mensagens em que o destinatário "se apresenta como sendo do Millennium BCP, da Caixa Geral de Depósitos ou de outro banco" com mensagens como: "Devido aos problemas da Microsoft, é necessário repor a sua palavra-passe ou atualizar os seus contactos".
"A pessoa pode cair numa burla relacionada com a autenticação multifator, entregando credenciais e um código de confirmação que permita ao atacante movimentar dinheiro, em vez de estar a resolver qualquer falha", avisa Mateus-Coelho, que deixa um conselho primordial para evitar este tipo de burlas: "Diria às organizações que tenham muito cuidado com os e-mails que dizem vir da Microsoft. É preciso verificar se o remetente é realmente a Microsoft: o nome apresentado pode ser uma coisa e o endereço de e-mail que está por trás pode ser outra." "Acima de tudo, é preciso resistir à tentação de clicar", sublinha.
Segundo o especialista em cibersegurança, o problema técnico na Microsoft está relacionado com a "segurança das comunicações, com o TLS e o HTTPS", e resume-se à própria infraestrutura da gigante tecnológica. "Não é um problema dos computadores dos clientes, sejam empresariais ou domésticos" e, como tal, "não há razão para seguir instruções recebidas em nome de bancos, seguradoras, autarquias ou outras entidades que também sejam clientes da Microsoft".
O conselho central passa por verificar cuidadosamente todas as comunicações via e-mail, SMS e até chamadas que receba nos próximos dias, porque após a resolução do problema técnico da Microsoft vamos entrar "numa fase em que podemos ser contactados por muitas pessoas ou entidades". "Os dados de clientes obtidos em incidentes como os que referi da Worten e da TAP Air Portugal - nomes, e-mails e outros elementos - podem ser usados para criar mensagens muito apelativas e credíveis", alerta.
"Por exemplo, o remetente da mensagem [por trás da burla] pode apresentar-se como sendo de um banco e dizer: 'Temos aqui o seu NIB. É necessário bloqueá-lo por causa da Microsoft. Clique aqui'. Uma mensagem destas pode parecer verdadeira, precisamente porque contém dados pessoais corretos", exemplifica Nuno Mateus-Coelho, antecipando que para o cidadão comum uma mensagem deste tipo "pode parecer verdadeira", porque "contém dados pessoais corretos" e, por isso mesmo, a "recomendação é não clicar nessas ligações e aguardar".
Nuno Mateus-Coelho diz que é imperativo que os utilizadores retenham a ideia de que "esta falha não exige uma intervenção do cidadão comum, nem sequer do técnico de informática de uma empresa cliente para repor os sistemas da Microsoft".
Centralização de sistemas na Microsoft
Durante o apagão ibérico, nas falhas do SIRESP ou agora com a falha na Microsoft, há sempre um ponto comum: a importância da resiliência dos sistemas. No entanto, Nuno Mateus-Coelho garante que "não diria que é um erro" o facto de haver várias empresas e serviços estatais que centralizam os seus sistemas informáticos na Microsoft.
"É importante discutir a dependência dos sistemas da Microsoft, mas não podemos olhar para a Microsoft como se estivéssemos apenas a falar do Windows. A Microsoft tem centros de dados espalhados pelo mundo. É uma única marca, mas assenta numa infraestrutura distribuída", explica.
Nuno Mateus-Coelho lembra que se houver um "cataclismo nos EUA" os sistemas da Microsoft não colapsam, porque o centro de dados na região de Paris, em Nanterre, continuará a funcionar, tal como o centro de dados sediado na Irlanda. "A Microsoft pensou nessa necessidade e construiu uma infraestrutura segmentada e distribuída pelo mundo", aponta.
"Agora, se me perguntarem se uma organização deveria ter metade da infraestrutura na Amazon Web Services (AWS) e a outra metade na Microsoft diria que, do ponto de vista de um governo, isso pode fazer sentido", explica, lembrando, no entanto, que há um viés fulcral para este paradigma que é o facto de este tipo de estratégia ter "um custo de infraestrutura pesadíssimo".
Isto porque uma empresa quando escolhe um fornecedor único como a Microsoft - como será o caso do Estado português - "é porque esse fornecedor garante muito mais do que e-mail". "A Microsoft oferece Office, Exchange, Defender e sistemas de autenticação multifator, tudo integrado num pacote", lembra o professor universitário.
No âmbito dos serviços estatais, Nuno Mateus-Coelho salienta que "Portugal é servido por vários pontos de computação na Europa" e, para além disso, "existem ainda vários centros de dados na América do Norte para assegurar a continuidade do serviço". Por tudo isto, o especialista defende que "separar fornecedores pode fazer sentido nos serviços críticos, mas não necessariamente em toda a operação de uma organização".
"Não podemos simplesmente dizer às Finanças que abandonem a Microsoft", porque, para além do custo, ter-se-ia de pensar "no antivírus, na firewall, no Windows, nos licenciamentos e ainda no e-mail, no Word, no PowerPoint e no Outlook". "Quem fornece tudo isto?", questiona Mateus-Coelho, que lembra que a Google pode oferecer o Google Docs, mas que apresenta a desvantagem de não ter compatibilidade com aplicações e computadores mais antigos.
Porém, o professor universitário concorda que "em serviços críticos" como, por exemplo o SIRESP, faz sentido repartir a infraestrutura por várias entidades. Outro exemplo explanado por Nuno Mateus-Coelho é o caso do Banco de Portugal que, no seu entendimento, deveria ter "a maior parte dos sistemas distribuída por fornecedores como a Google, a Amazon e a Microsoft".
"Agora, quando falamos da ligação ao utilizador, há menos alternativas a uma solução tão integrada como a da Microsoft. Idealmente, a infraestrutura deveria estar distribuída, mas também é preciso perceber que essa opção é muito cara, tanto para nós como para os americanos", refere.
"Não temos necessariamente de estar 100% dentro de um determinado ecossistema. Podemos estar 75% num fornecedor e 25% noutro. No fundo, é uma decisão de gestão, e faz sentido que assim seja", culmina Nuno Mateus-Coelho.
