FSB explora routers europeus desprotegidos

Algures num prédio, numa repartição municipal ou num centro de saúde, há um router fechado num armário. Foi instalado há anos, continua a funcionar com firmware que ninguém actualizou e ainda aceita a palavra-passe definida pelo fabricante. Como não dá problemas visíveis, raramente entra na lista de prioridades. É precisamente essa invisibilidade que o torna útil aos serviços de informações russos.

Um aviso conjunto publicado este mês pela NSA, pelo FBI e por serviços de informações de pelo menos oito países europeus atribui a uma unidade concreta, o Centro 16 do FSB, a exploração sistemática destes equipamentos esquecidos (CISA). A coligação inclui França, Itália, Polónia, Suécia, Finlândia, Estónia, Dinamarca e República Checa (NCSC NZ). O aviso é multinacional e trata a higiene básica dos routers como uma vulnerabilidade partilhada pelas economias ocidentais.

Como a planta do edifício sai pela porta

Muitos routers mantêm activa uma antiga função de gestão remota, criada para permitir que administradores configurem equipamentos à distância dentro de uma rede. Os engenheiros chamam-lhe SNMP. Nas primeiras versões, concebidas há décadas, a segurança é mínima. A “palavra-passe” é uma pequena sequência de texto, muitas vezes deixada no valor de fábrica: literalmente “public” ou “private”. Qualquer pessoa que faça varrimentos na Internet pode tentá-la (CISA).

Depois de entrar, o atacante pode ordenar ao router que copie o seu próprio ficheiro de configuração e o envie para um servidor sob o seu controlo (NSA). Esse ficheiro funciona como o caderno interno do equipamento: que dispositivos existem na rede, como circula o tráfego entre eles e, em alguns casos, onde estão guardadas credenciais de acesso. O resultado é um mapa da organização e, muitas vezes, chaves para avançar mais fundo.

A lógica é simples: experimentar portas até encontrar uma aberta, copiar a planta do edifício, ler a lista telefónica interna e perceber onde estão as chaves. O centro de cibersegurança da Finlândia resumiu o problema em termos práticos: dispositivos de rede mal protegidos abrem caminho a ciberataques, pelo que as organizações não devem deixar estes painéis de gestão remota visíveis a partir da Internet pública (Kyberturvallisuuskeskus).

A espinha dorsal das economias europeias, exposta

O aviso enumera os sectores visados: comunicações, energia, serviços financeiros, administração pública, indústria de defesa e saúde (CISA). Lida em conjunto, a lista descreve a espinha dorsal de qualquer economia europeia.

A cobertura alemã sublinhou a assimetria: routers e outros equipamentos de fronteira, colocados entre uma organização e a Internet aberta, tendem a ser menos vigiados do que servidores ou computadores portáteis, embora uma única má configuração baste para começar a mapear uma rede (Handelsblatt, cyberdeutsch.news). Em Itália, os serviços de informações AISE e AISI assinaram o aviso conjunto (Decode39). Na Finlândia, o Supo emitiu um alerta nacional paralelo dirigido a empresas e sectores críticos (Supo).

O risco não termina na primeira vítima. Um router comprometido pode transformar-se num endereço de encaminhamento para o atacante: tráfego hostil posterior passa pela rede da vítima e aparenta vir de uma empresa europeia legítima. Isso disfarça a presença do agressor e dificulta a detecção para parceiros, fornecedores e clientes ligados à mesma cadeia (AttackIQ).

A solução é banal, e esse é o problema

As defesas recomendadas são deliberadamente pouco vistosas: desactivar versões antigas do SNMP, adoptar o SNMPv3, que exige autenticação real, mudar palavras-passe de origem, limitar a gestão remota a redes conhecidas, actualizar firmware e substituir equipamentos que já não recebem correcções de segurança (NSA). O centro de cibersegurança finlandês acrescenta outra medida: recolher e conservar registos durante seis a vinte e quatro meses (Kyberturvallisuuskeskus).

Nada nesta lista exige nova legislação nem acesso privilegiado a informações secretas. São tarefas que uma equipa de tecnologias pode executar já. A falha está na prioridade, não no conhecimento. Um hospital ou uma câmara municipal pode ter boas práticas nos computadores dos funcionários e, ao mesmo tempo, manter num balcão periférico um router com a palavra-passe que trazia em 2018.

É este padrão que vinte países estão a assinalar. Os serviços de informações russos não precisam, aqui, de quebrar defesas sofisticadas. Entram por acessos de manutenção que nunca foram fechados. A espionagem ganha escala porque a mesma pequena negligência técnica se repete em milhares de redes.