Rússia usa câmaras IP contra a NATO

Uma câmara de segurança barata, instalada na parede de um armazém europeu e ainda protegida pela palavra-passe de fábrica, foi tomada por hackers estatais russos e integrada numa rede de vigilância destinada a acompanhar o transporte de armas para a Ucrânia. O proprietário talvez nunca venha a sabê-lo. Os serviços de informação neerlandeses revelaram a operação este mês, descrevendo a forma como câmaras IP em países da NATO foram comprometidas ao longo de rotas logísticas militares (AIVD, DW). A imagem resume uma conclusão que os governos europeus começam a formular sem rodeios: as operações cibernéticas russas contra infra-estruturas civis deixaram de ser episódios isolados. Tornaram-se permanentes.

As autoridades finlandesas chamam-lhe “arkipäivää”, vida quotidiana, uma condição de fundo com que se passou a viver (Yle). A NATO, ao condenar em 13 de julho as “atividades cibernéticas maliciosas persistentes” da Rússia, usou uma linguagem que aponta na mesma direção (NATO). Já não se trata de investigar uma intrusão, fechar a porta e regressar à normalidade. Trata-se de resistir a uma operação continuada.

Copiar todas as chaves do edifício

A imagem clássica de um ciberataque é a de um assalto: alguém entra, rouba alguma coisa e sai. O que várias agências europeias descrevem hoje aproxima-se mais de alguém que copia todas as chaves de um edifício, aprende os turnos dos seguranças, mapeia as rotas de entrega e, de vez em quando, dispara o alarme de incêndio para medir a reação.

O ponto de entrada é frequentemente banal: um router antigo, uma palavra-passe fraca, um equipamento que ninguém atualiza há anos. O serviço de informações finlandês, Supo, afirma que o 16.º Centro do FSB, o serviço de segurança russo, explora precisamente essas falhas para espiar empresas de energia e defesa (Supo). Não são necessárias ferramentas sofisticadas.

O peso estratégico começa depois da entrada. Os atacantes roubam credenciais de acesso, as tais chaves copiadas, e usam-nas para passar de um sistema para outro: da receção para o armazém, depois para a sala de controlo. Observam comunicações internas, estudam o funcionamento da organização e mantêm o acesso durante meses ou anos. A espionagem serve para desenhar o terreno. As vagas de tráfego artificial que deitam sites abaixo criam ruído. O malware destrutivo pode ficar adormecido, pronto a ser ativado se houver decisão de escalar (ENISA).

Países diferentes, mesma campanha

Cada país vê a ameaça a partir da sua vulnerabilidade própria. Na Finlândia, a história passa pelas margens das redes: empresas de energia e sectores críticos tornam-se alvos de espionagem prolongada. A ministra dos Negócios Estrangeiros, Elina Valtonen, condenou a atividade e convocou o embaixador russo (MTV Uutiset). Na Polónia, a questão é o corredor logístico: enquanto principal rota de trânsito do apoio à Ucrânia, o país enfrenta operações digitais em paralelo com sabotagem física. O ministro dos Negócios Estrangeiros, Radosław Sikorski, disse haver informações credíveis de que a Rússia preparava novas ações, juntando incêndios, ataques ferroviários e reconhecimento de infra-estruturas às intrusões digitais (RMF24, Rzeczpospolita).

Estas leituras não se contradizem. São faces diferentes da mesma campanha: roubar acessos, vigiar redes, mapear dependências, perturbar de forma seletiva e aumentar os custos para os Estados que apoiam a Ucrânia.

Há, ainda assim, uma cautela necessária. Algumas advertências assentam em informações classificadas que os governos não podem tornar públicas. A atribuição é uma avaliação oficial, não prova apresentada em tribunal. O Ministério dos Negócios Estrangeiros polaco citou uma posição da UE que liga operações destrutivas ao 16.º Centro do FSB (WP). É uma atribuição plausível e institucionalmente sustentada, mas não totalmente auditável pelo público.

As leis estão prontas, os routers não

A resposta jurídica europeia avançou depressa. A ideia central dos dois principais instrumentos, a Diretiva NIS2 e o Regulamento de Ciber-resiliência, é deslocar a responsabilidade para cima: menos sobre equipas de informática sobrecarregadas, mais sobre administrações de empresas e fabricantes de equipamentos (Diretiva NIS2). A NIS2 torna a gestão de topo legalmente responsável pela cibersegurança e alarga as obrigações de comunicação de incidentes a mais sectores. O Regulamento de Ciber-resiliência ataca diretamente a origem do problema das câmaras e dos routers, obrigando os fabricantes a vender produtos com configurações de segurança adequadas, em vez de palavras-passe de fábrica (EUR-Lex CRA).

A falha está na execução. Uma diretiva não atualiza de um dia para o outro todos os routers antigos, nem substitui todas as palavras-passe esquecidas. A transposição da NIS2 continua desigual entre Estados-Membros. A arquitetura existe. A cablagem ainda está incompleta.

Para os cidadãos europeus, a mudança é tão conceptual como técnica. A cibersegurança já não é a limpeza de emergência depois de uma intrusão espetacular. É manutenção de infra-estrutura: deteção contínua, atualizações, controlo de fornecedores, resposta a incidentes. Menos vistosa do que um grande ataque de primeira página, mas mais difícil de sustentar. O próximo teste não será saber se a Europa tem as leis certas no papel. Será perceber se as câmaras antigas, os routers por atualizar e as administrações mal preparadas mudaram antes de a Rússia usar os acessos que já construiu.