Como já é de amplo conhecimento público, o código malicioso WannaCry atingiu escala mundial, afetando, até o momento desta analise, cerca de 200 mil sistemas em mais de 150 países.
Desse total, a Rússia aparece como o pais mais afetado, com 113.692 sistema, e o Brasil é o quinto da lista, com 2.114.
Ontem (15/5), já circulavam nos fóruns de discussão técnica os nomes das empresas, envolvendo desde grandes operadoras de telecomunicações, provedores de acesso, multinacionais de tecnologia no país, data centers, área de transportes e governos estaduais, além do mercado corporativo.
O preço pelo resgate dos dados (o,1781 bitcoin, cerca de U$ 300) que ficaram encriptados pelo ransomware foi estipulado na moeda digital pela impossibilidade de rastreamento.
Apesar do elevado número de sistemas afetados, estima-se que apenas 231 pagamentos já tenham sido feitos, totalizando U$ 60.898.
Essa quantia pode parecer irrisória perante a extrema visibilidade e impactos que esse incidente, ainda em curso, esta causando.
Físico e digital
No meu livro Risco Digital (2006) e na sua sequência em Risco Digital na Web 3.0 (2015), descrevi como em algum momento a sociedade do mundo chamado de físico seria afetada pelo digital.
Culturalmente os usuários têm a percepção de que o físico domina o digital, sendo que esse foi construido a partir de decisões envolvendo construção de redes, data centers e demais infraestruturas tecnológicas na dimensão física.
Porém, à medida em que o ambiente digital tornou-se a plataforma predominante de negócios, lazer e entretenimento e suporte a áreas como educação e saúde, por exemplo, esse domínio começou a adquirir vida própria e a definir todo um novo modelo operativo que é de quase total desconhecimento e/ou incompreensão pela sociedade em geral.
Sempre que atuo na investigação cibernética de casos e ocorrências percebo – em função da crise e criticidade da situação – o envolvimento direto do nível executivo das empresas, na ânsia frenética de saber os motivos e encontrar o mais rapidamente possível os envolvidos.
Porém, em outros momentos, digamos de normalidade, o chamado C-level não busca envolvimento nas decisões de investimentos de segurança cibernética.
Distância
Já há algum tempo tenho atuado como advisor (conselheiro) de cyber-security no conselho de empresas, em reuniões periódicas para tomada de decisões corporativas.
Nesses momentos, opino junto aos gestores sobre demandas das áreas técnicas e, em muitos casos, faço o papel de “ponte de conhecimento e linguagem” para que eles entendam essas solicitações, seus objetivos e consequentes benefícios pretendidos.
Torna-se portanto óbvio que, apesar da grande evolução do mercado tecnológico com a entrada de empresas de todas as partes do mundo nos mais variados aspectos da segurança cibernética (temos hoje cerca de 25 tecnologias especificas), existem um grande vácuo entre os CIOS/CISOs e o restante do chamado C-level.
Nesse ataque em andamento, cidadãos comuns das mais variadas partes do mundo subitamente têm sua dinâmica de vida e compromissos afetados. Uma consulta no posto de saúde não pode ser feita, não há sistemas, uma audiência jurídica tem de ser reagendada, pagamentos não podem ser honrados no vencimento e assim por diante, numa extensa lista de múltiplas consequências ainda imprevisíveis.
O valor absoluto dos resgates já pagos (U$ 60.898) é ínfimo perante o custo indireto de todas essas milhares de situações que não puderam seguir seu ritmo normal.
Ponto de inflexão
Do ponto de vista puramente técnico, trata-se de uma vulnerabilidade que já era de conhecimento da comunidade de segurança, como centenas de outras a que temos acesso nos fóruns de discussão.
Porém, do ponto de vista executivo e pela ampla cobertura da mídia internacional, o WannaCry será sem dúvida um ponto de inflexão na indústria de segurança.
Enquanto as empresas e órgãos governamentais não creditarem à segurança cibernética sua adequada importância na chamada transformação digital , mantendo esse imenso vácuo de comunicação entre as áreas técnicas e os níveis de tomada de decisão, mais e mais incidentes como estes vão ocorrer.
- Leonardo Scudere é diretor para as Américas da Secure Systems Innovation Corporation
