Ransomware paralisa sistemas florestais do Estado letão

Precisar de uma licença de caça, de um mapa florestal ou de dados sobre entregas de madeira e encontrar todos os sistemas indisponíveis é o tipo de falha que transforma a cibersegurança num problema quotidiano. A 22 de junho, um ciberataque atingiu a Latvijas valsts meži (LVM), a empresa pública que gere as florestas do Estado letão, deixando inoperacionais cerca de metade dos seus sistemas informáticos durante o feriado de Jāņi, a celebração letã do solstício de verão, quando havia menos equipas a acompanhar os ecrãs (LTV).

Por precaução, a LVM retirou do ar vários serviços públicos: mapas digitais, a aplicação de caça Mednis e sistemas de troca de dados com parceiros. A empresa começou a recuperar informação a partir de cópias de segurança e recusou colaborar com os atacantes. A equipa letã de resposta a incidentes informáticos, a CERT.LV, confirmou que material roubado tinha sido publicado online, embora os investigadores ainda estivessem a apurar que dados tinham sido efetivamente extraídos. A avaliação das autoridades é que se tratou de uma operação de extorsão com motivação comercial, não de uma campanha ligada a um Estado (LTV). Um grupo criminoso à procura de lucro conseguiu suspender serviços de que cidadãos e empresas dependem no dia a dia.

Cablagem antiga por trás de paredes novas

Uma grande organização pública funciona muitas vezes como um edifício renovado: à entrada, vêem-se portais digitais, aplicações móveis e mapas interativos; dentro das paredes, permanece cablagem antiga. Sistemas de autenticação anteriores às proteções modernas, acessos remotos de contratantes que ninguém audita há anos, servidores que continuam a existir porque ainda suportam um processo crítico. Para o público, estes pontos fracos são invisíveis. Para os atacantes, são as primeiras portas a testar.

Os grupos de ransomware entram habitualmente através de uma palavra-passe roubada ou de um sistema sem atualização de segurança. Depois procuram, sem dar nas vistas, transformar um acesso limitado em controlo de administrador, avançando de sala em sala nesse edifício metafórico até obterem a chave-mestra. Quando a nota de resgate aparece, o intruso pode já estar dentro há semanas (CISA). Segundo a LTV, a sondagem dos sistemas de segurança da LVM começou antes da data em que o ataque se tornou visível (LTV).

As organizações públicas estão particularmente expostas porque não podem simplesmente parar e porque têm de manter tecnologia antiga e nova a funcionar em conjunto durante ciclos longos de modernização (CISA, CrowdStrike). É precisamente na ligação entre infraestrutura herdada e sistemas modernos que a segurança costuma falhar.

O padrão à porta

O ataque na Letónia insere-se num problema mais amplo na região. Na Lituânia, as autoridades estão a investigar o roubo de mais de 600 000 extratos do Registo Predial, incluindo códigos de identificação pessoal, ao operador estatal Registrų centras (LRT). O acesso terá passado por contas de funcionários roubadas, com os primeiros inícios de sessão ilícitos a remontarem ao início de 2026. O público só soube do caso meses depois (TV3). Cerca de 1 000 pessoas estavam a preparar-se para processar o Estado (Verslo žinios).

Os dois casos são tecnicamente diferentes, mas expõem a mesma falha: sistemas digitais civis, essenciais à vida pública corrente, continuam subprotegidos. A Alemanha já mostrou até onde isso pode chegar. Em 2021, o distrito de Anhalt-Bitterfeld declarou uma situação de catástrofe depois de um ataque de ransomware, com serviços aos cidadãos interrompidos durante semanas (Landkreis Anhalt-Bitterfeld).

As novas regras perante uma falha real

A NIS2 é a diretiva europeia que transforma a resiliência cibernética numa responsabilidade ao nível da gestão de topo. Os operadores de serviços essenciais têm de enviar um alerta inicial no prazo de 24 horas após detetarem um incidente, apresentar uma notificação detalhada em 72 horas e entregar um relatório final no prazo de um mês (EUR-Lex). A administração superior passa a ser pessoalmente responsável pela gestão do risco de cibersegurança (European Commission).

A Letónia transpôs a NIS2 para a lei nacional, em vigor desde setembro de 2024, com requisitos mínimos de cibersegurança a entrarem em vigor em julho de 2025 (Business.gov.lv). Depois do ataque à LVM, o primeiro-ministro em funções assinou cinco resoluções que obrigam os ministérios a reportar sobre a segurança dos sistemas do Estado e sobre a forma como a informação relativa a incidentes circula dentro do Governo (Kulbergs). Ligou o caso a regulamentação de cibersegurança em atraso, reconhecendo que regras escritas só contam se forem acompanhadas por capacidade operacional.

O teste é agora prático e vai muito além dos países bálticos. Quanto tempo demorará a recuperação da LVM? Saberão os cidadãos que dados pessoais ficaram expostos? As cópias de segurança tinham sido testadas antes de serem necessárias? Um ministro consegue dizer quem, na sua cadeia de comando, responde pelo risco cibernético de cada sistema público? Todos os operadores públicos europeus enfrentam as mesmas perguntas. A NIS2 garante que já não podem ficar sem resposta.