A ONU escondeu deliberadamente um ataque maciço de hackers que poderia colocar muitas pessoas em perigo

As notícias de ataques cibernéticos direcionadas a organizações de todas as formas e tamanhos são divulgadas diariamente, e muitas vezes são acompanhadas de muitas críticas à vítima. Geralmente, o problema está na maneira como o incidente é tratado, mas também há casos em que as vítimas de ataques cibernéticos são condenadas por não tomarem as devidas precauções para impedir que a violação aconteça em primeiro lugar. Ontem, as Nações Unidas, organização responsável por, entre outras coisas, preservar a frágil paz em nosso precioso planeta, admitiram que foram alvo de hackers. É seguro dizer que as pessoas podem criticá-lo não apenas por não impedir a violação, mas também pela maneira como a denunciou.

ONU sofreu um ataque cibernético com “recursos suficientes” no verão de 2019

Antes de chegarmos aos erros da ONU, devemos primeiro ver o que aconteceu. Afinal, estamos falando de uma enorme organização responsável por uma enorme quantidade de dados. Algumas delas são tão sensíveis que, se caírem nas mãos erradas, podem levar à perda de vidas humanas. Felizmente, para acreditar na ONU, os hackers não conseguiram acessar as informações mais sensíveis.

Segundo o anúncio oficial, o ataque atingiu "os principais componentes da infraestrutura" nos escritórios da ONU em Viena e Genebra. Um dos braços da ONU em Genebra é o Escritório do Alto Comissariado para os Direitos Humanos (OHCHR), e foi confirmado que seus servidores foram alvejados. Felizmente, os atacantes só conseguiram chegar ao ambiente de desenvolvimento, o que também é bom porque o OHCHR provavelmente lida com dados sensíveis que podem levar à perseguição de ativistas por certos regimes. Embora eles não tenham conseguido ver essas informações, os hackers conseguiram comprometer alguns IDs de usuário do Active Directory, embora a ONU tenha sido rápida em apontar que nenhuma senha foi roubada.

As autoridades da ONU preferiram não entrar em muitos detalhes sobre o que mais estava comprometido. Eles apontaram, no entanto, que o incidente foi "sério" e sugeriram que a ONU foi atacada por um sofisticado grupo de hackers que têm muitos recursos. Embora isso possa muito bem ser o caso, o sucesso do ataque não pode ser inteiramente atribuído às habilidades dos hackers. O gerenciamento desleixado de patches da ONU também desempenhou um papel fundamental.

O ataque foi bem-sucedido devido a uma atualização atrasada

Muitas pessoas estão preocupadas porque o anúncio de ontem prova mais uma vez que mesmo grandes organizações com importância global podem ser invadidas com sucesso. O mais assustador, no entanto, é que essas organizações se deixam vulneráveis a ataques cibernéticos.

Para entender o que realmente aconteceu, precisamos retroceder o relógio até fevereiro de 2019, quando os pesquisadores de segurança encontraram uma falha na execução remota de código no Microsoft SharePoint, um sistema colaborativo de gerenciamento de documentos e arquivos usado por centenas de milhares de organizações em todo o mundo. A falha pode permitir que os hackers ignorem a autenticação do SharePoint e executem o código no servidor do alvo. As possíveis consequências de um ataque como esse foram enormes, e é por isso que a vulnerabilidade foi classificada como crítica, recebeu um número CVE (CVE-2019-0604) e o trabalho em um patch começou imediatamente. Em março, a Microsoft lançou uma atualização para resolver o CVE-2019-0604 na maioria das versões afetadas do SharePoint e, em 25 de abril de 2019, lançou outro patch para o restante das plataformas vulneráveis.

As políticas de TI da ONU aparentemente ditam que as atualizações de segurança devem ser instaladas dentro de um mês após seu lançamento, mas, infelizmente, as regras não são seguidas rigorosamente. Em julho de 2019, os hackers exploraram o CVE-2019-0604 na plataforma SharePoint da ONU e obtiveram acesso aos servidores da organização.

Os especialistas em segurança cibernética investem bastante tempo e esforço para convencer usuários e empresas de que manter os aplicativos e sistemas operacionais atualizados é extremamente importante. Todos tendemos a supor que os especialistas em TI que trabalham para organizações de importância global não precisam ser lembrados disso, mas, aparentemente, esse não é o caso.

Já é tempo de todos nós aprendermos que não há absolutamente nenhuma desculpa para ignorar as atualizações de segurança. Também devemos ver como a ONU lidou com o incidente e aprender com seus erros.

A ONU deliberadamente manteve o ataque em segredo

É difícil especular se a ONU tinha ou não a intenção de divulgar a violação ontem, mas o fato é que, poucas horas antes de os funcionários da organização estarem diante das câmeras, uma agência chamada The New Humanitarian (TNH) deu a notícia. O relatório foi o resultado de uma investigação bastante longa, iniciada em novembro de 2019, quando Ben Parker, editor sênior da TNH, encontrou um relatório interno da ONU no final de agosto do ano passado.

Revelou que, naquela época, a equipe de TI da ONU estava no meio de todos os buracos e investigando o que havia acontecido. Na época, os especialistas estavam se comunicando e tentando avaliar os danos. Um oficial de TI anônimo disse à TNH que tudo foi um "grande colapso" e, de fato, a investigação de Ben Parker revela que nada menos que 40 servidores foram comprometidos durante o ataque. Os servidores provavelmente estavam vinculados a recursos humanos e sistemas de seguro de saúde, o que significa que, embora não pudessem ver listas de ativistas de direitos humanos, os hackers conseguiram acessar os detalhes pessoais da equipe da ONU em Genebra e Viena.

A investigação da TNH também mostra que a ONU instou seus funcionários a mudar suas senhas, mas não tinha absolutamente nenhuma intenção de dizer a eles que seus dados haviam sido alvo de um ataque cibernético. As únicas pessoas que souberam do incidente foram os especialistas em TI encarregados de limpar a bagunça e as pessoas na hierarquia.

Se essa fosse uma organização normal, ela estaria enfrentando todo tipo de problemas. A multa sob o RGPD da UE teria sido massiva e o fato de os funcionários afetados não terem sido informados a tempo teria servido de base sólida para uma ação judicial. A ONU não é uma organização normal, no entanto. Possui imunidade diplomática, o que significa que os reguladores não têm os direitos legais para responsabilizá-la, e as opções para os indivíduos afetados também não são exatamente abundantes.

A única coisa que podemos fazer neste momento é esperar que outras organizações, grandes e pequenas, aprendam algumas lições.