Fuga na Letónia alimenta burlas

Quem registou um automóvel na Letónia desde 2008 passou a ter um problema que não se resolve mudando uma palavra-passe. Atacantes entraram nos sistemas da autoridade rodoviária do país, a CSDD, e levaram registos de recibos de pagamento associados a cerca de 1,2 milhões de pessoas e entre 150 000 e 200 000 empresas (LSM, BNN). Num país com menos de dois milhões de habitantes, isto cobre a maior parte da população adulta. Não houve contas bancárias esvaziadas. O que os criminosos obtiveram foi antes a matéria-prima para fraudes credíveis, e esses dados não perdem utilidade depressa, porque abrangem quase duas décadas.

O que um burlão sabe agora

Os dados roubados têm a estrutura de um dossier personalizado. Incluem nomes, números nacionais de identificação, matrículas, montantes pagos, datas de pagamento e a morada registada quando o serviço foi utilizado (tezinas.lv, inbox.lv). Não terão sido obtidos números de telefone, endereços de correio eletrónico, dados bancários ou credenciais de acesso (NRA). A distinção parece tranquilizadora até se imaginar a chamada: alguém cita o número de identificação correto, a matrícula do carro, a taxa exata paga no ano anterior e a morada onde a pessoa vivia nessa altura. Muitos não desligariam.

O número de identificação, por si só, não permite aceder às ferramentas de identidade digital da Letónia, como o Smart-ID ou o Mobile-ID. Mas permite iniciar uma tentativa de autenticação que gera um pedido de aprovação no telemóvel da vítima. Nesse momento, o burlão pode telefonar fazendo-se passar pela CSDD ou pelo banco, enquanto a pessoa está a olhar para o pedido, e pressioná-la a carregar em «aprovar» (NRA). Poucos dias depois da divulgação do ataque, já circulavam falsos emails e SMS em nome da CSDD (Delfi, tezinas.lv). A janela de fraude permanecerá aberta durante muito tempo: os registos incluem pessoas que registaram um carro em 2008 e entretanto saíram do país (LSM).

Faltavam bloqueios básicos

A intrusão começou no fim de semana de 7 e 8 de agosto. O CERT.LV, organismo nacional letão de resposta a ciberincidentes, só foi informado na noite de segunda-feira, 10 de agosto (NRA). A CSDD comunicou ao público, em 13 de agosto, que o seu site tinha sofrido um ataque. A escala completa do caso só se tornou pública a 18 de agosto (eng.lsm.lv, LSM).

O que falhou não foi uma tecnologia rara. Segundo a imprensa letã, a CSDD não cumpria vários requisitos aplicáveis a sistemas classificados no nível mais elevado de sensibilidade, isto é, sistemas que concentram dados pessoais suficientes para afetar grande parte da população. Faltava autenticação multifator, que exige uma segunda confirmação além da palavra-passe. Faltavam também testes de penetração, ensaios pagos em que especialistas tentam entrar nos sistemas antes de o fazerem atacantes reais (BauskasDzīve/LETA, Delfi).

O CERT.LV tinha proposto instalar, entre janeiro e abril, sensores de monitorização de rede, uma espécie de alarme para tráfego suspeito. O sistema só estava a ser montado depois da fuga de dados (LA.lv).

A consequência política foi rápida. O Presidente Edgars Rinkēvičs defendeu que a liderança da CSDD não devia manter-se em funções e pediu ao Ministério Público que analisasse o caso. A administração e o conselho da CSDD demitiram-se (Delfi, Kauno diena). Uma falha informática distinta já tinha obrigado, no início do mês, ao encerramento da passagem fronteiriça de Pāternieki, entre a Letónia e a Bielorrússia, pelo que a robustez dos sistemas digitais do Estado letão já era uma questão política antes de o caso da CSDD a tornar mais difícil de ignorar.

Um padrão, não uma exceção

A Letónia não está isolada. A Lituânia revelou este ano que os procuradores suspeitam da cópia ilegal de mais de 600 000 registos do seu cadastro nacional de propriedade e de entidades jurídicas, com acessos não autorizados feitos através de sistemas ligados a outras instituições (LRT). O caminho técnico foi diferente, mas o resultado é reconhecível: dados administrativos roubados, clareza pública tardia e avisos de que criminosos poderiam fazer-se passar por entidades do Estado (LRT).

As regras europeias já tratam tanto os sistemas de transporte como os registos públicos como infraestruturas críticas ao abrigo da NIS2, a diretiva atualizada da União Europeia sobre cibersegurança. A lei exige comunicação rápida de incidentes e dá poderes de execução aos reguladores (ENISA, The Record). Mas, quando a entidade que falha é uma agência pública e não uma empresa privada, a responsabilização tende a fazer-se mais por auditorias e pressão política do que por multas.

A fuga de dados da CSDD não parece ter exigido uma operação sofisticada ao nível de um Estado. Exigiu um sistema exposto à Internet onde faltavam controlos básicos. A administração digital europeia assenta em registos interligados que guardam décadas de dados administrativos, enquanto os governos continuam a pedir aos cidadãos que confiem nesses sistemas para mais serviços. Essa confiança dependerá menos de lançar novas plataformas digitais do que de pôr a funcionar os mecanismos menos vistosos: palavras-passe robustas, controlos de acesso, registos de atividade e sensores de alerta antes de alguém os testar por razões piores.