F-Secure alerta para dependência digital dos EUA

Imagine-se uma funcionária hospitalar a chegar ao turno de segunda-feira de manhã. O edifício está operacional, os cabos de rede estão intactos, os servidores na cave continuam a funcionar. Mas o ecrã de autenticação recusa-lhe a palavra-passe. Não por causa de um ciberataque ou de uma falha elétrica, mas porque a empresa norte-americana que gere o sistema de identidade do hospital alterou as condições de acesso. Os registos dos doentes estão a poucos metros. Ela não consegue consultá-los.

É assim que a dependência digital se torna concreta. Não é preciso cortar cabos nem incendiar centros de dados. Basta que quem controla a fechadura mude o código durante a noite. Quando Timo Laaksonen, presidente executivo da finlandesa F-Secure, avisou este mês que a Europa depende em profundidade de serviços críticos controlados pelos Estados Unidos, estava a descrever precisamente esta exposição silenciosa e estrutural (Yle).

O código da porta não está na Europa

Para perceber onde está a vulnerabilidade, convém seguir o percurso antes de essa funcionária conseguir sequer abrir a caixa de correio eletrónico.

Primeiro, introduz as suas credenciais num sistema de autenticação. Muitas organizações europeias recorrem a serviços de identidade operados por empresas norte-americanas, sendo o Entra ID da Microsoft o caso mais comum, para confirmar quem são os seus trabalhadores. Se esse fornecedor falhar ou retirar o acesso, todas as aplicações que dependem dele ficam simultaneamente inacessíveis (Hypergate). Uma porta fechada, dezenas de salas bloqueadas atrás dela.

Depois há o comando remoto da infraestrutura em nuvem: o painel através do qual as equipas de informática criam servidores, gerem bases de dados e administram as chaves digitais que protegem informação sensível. Os registos clínicos de um hospital podem estar fisicamente num servidor em Frankfurt. Mas, se o painel de gestão, a conta de faturação e essas chaves estiverem sob uma empresa-mãe norte-americana, «alojado na Europa» não significa «controlado pela Europa» (JRC).

O mesmo padrão repete-se no correio eletrónico, no armazenamento de documentos, nas atualizações de software e até no livro de endereços da Internet, o DNS, que indica aos navegadores onde encontrar os sites. Investigação alemã concluiu que cerca de 96% das empresas alemãs dependem de tecnologias digitais importadas, enquanto os fornecedores norte-americanos de nuvem detêm mais de 70% do mercado europeu (egovernment.de).

Quando a fechadura já rodou

Três casos recentes mostram que isto não é uma hipótese abstrata.

A Anthropic, empresa de inteligência artificial, suspendeu o acesso de alguns utilizadores aos seus modelos mais recentes para cumprir controlos de exportação dos Estados Unidos. Nenhum servidor foi desligado. Uma ordem legal fez desaparecer uma capacidade digital de certos ecrãs (AP, Reuters).

Nos Países Baixos, um tribunal bloqueou a aquisição da Solvinity pela norte-americana Kyndryl. A Solvinity aloja o DigiD, o sistema de identidade digital usado pelos cidadãos neerlandeses para aceder a serviços fiscais e de saúde. O motivo foi jurídico: ao abrigo de leis norte-americanas como o CLOUD Act e a FISA, empresas detidas por grupos dos EUA podem ser obrigadas a entregar dados, independentemente do local onde estejam armazenados. Um sistema nacional de identidade não podia ficar sob esse enquadramento legal (Ius Mentis).

Em França, um inquérito da Assembleia Nacional concluiu que cerca de 80% das compras públicas de software passam por atores norte-americanos, num valor anual próximo de 1,5 mil milhões de euros. Ministérios, operadores de energia e redes de transporte dependem de fornecedores que, em teoria, poderiam restringir o acesso sob pressão política ou por imposição legal (Banque des Territoires, Clubic).

Planos de contingência, não fantasias

A Europa não conseguirá reconstruir do zero a pilha tecnológica norte-americana. As economias de escala tornam esse objetivo irrealista no curto prazo. Mas é possível reduzir o número de funções que deixam de operar quando desaparece uma camada de acesso.

França passou a exigir que os serviços de nuvem certificados para uso público sensível não possam ser obrigados por legislação estrangeira a ceder controlo (CER). A Alemanha está a desenvolver o openDesk, um conjunto de ferramentas de trabalho em código aberto. A Comissão Europeia enquadra o problema no seu pacote de soberania tecnológica, ligando semicondutores, inteligência artificial, nuvem e código aberto (European Commission).

O investigador finlandês Mikko Hyppönen acrescenta uma dimensão muitas vezes esquecida: até as ferramentas defensivas podem transformar-se em dependências. Uma firewall instalada em Helsínquia, mas alimentada por inteligência sobre ameaças, assinaturas de vírus e atualizações de software vindas do estrangeiro, continua a depender de acesso ininterrupto a um serviço externo. Se esse fluxo for cortado, a muralha deixa de ver (YouTube / Hyppönen).

O teste prático para qualquer hospital, município ou ministério europeu é simples: se uma conta de fornecedor, um sistema de identidade ou um fluxo de atualizações desaparecer amanhã de manhã, os funcionários ainda conseguem entrar, consultar registos e comunicar? As instituições que respondem sim têm soberania operacional. As que respondem não são inquilinas que ainda não verificaram quem tem a chave.