Cerca de uma hora e dez minutos após o início do jogo de papéis que fui convidado a observar — uma simulação de ataque cibernético catastrófico contra utilities de água nos Estados Unidos — o exercício começa a parecer menos como uma tarde divertida jogando Dungeons & Dragons e mais como uma ameaça plausível à civilização.
Passaram-se 24 horas de tempo de jogo desde que hackers perturbaram 5.000 estações de tratamento de água em todo o país neste cenário fictício. Joshua Corman, ex-estrategista da Agência de Cibersegurança e Infraestrutura de Segurança (CISA), que atua como nosso "mestre da masmorra", permanece na frente de um espaço de conferências em um escritório acima da Times Square, narrando as últimas atualizações para os participantes, algumas dezenas de executivos de seguranças organizados em seis equipes. Todos ficaram perturbadoramente silenciosos.
"Pronto? Vai ficar mais difícil", avisa Corman. "Vou compartilhar algumas coisas, e vai doer." É, claro, a mesma tarde de abril de quando começaram — mas no tempo do jogo, os efeitos de segunda ordem das interrupções generalizadas no abastecimento de água começam a se tornar claros. Sistemas de refrigeração de alimentos estão falhando em armazéns de frio. Fabricação de medicamentos e produtos químicos dependentes de água foi gargantada, levando à escassez de insulina. Sistemas de refrigeração de data centers estão falhando, causando interrupções de serviços em nuvem. Mais criticamente, 2.000 hospitais estão sem água, prejudicando o atendimento a pacientes e, em alguns casos, levando a evacuações porque os sistemas de climatização desligam e o calor de julho — o jogo ocorre logo antes do Dia da Independência em 2027 — assa as instalações.
Para piorar, Corman reproduz em vídeo na tela da sala uma tubulação de água estourada: os hackers conseguiram desencadear não apenas perturbação de TI, mas também, em pelo menos alguns casos, destruição física real que levará muito mais tempo para consertar. "Todos jusante estão sem pressão de água", explica Corman. "Tudo depende da água."
A tarefa central que Corman atribuíu nesta rodada às equipes de participantes, todos interpretando o surpreendentemente pivotal papel de seguradoras, é decidir como distribuirão seus recursos — respondentes de incidentes cibernéticos contratados e dinheiro — e quais clientes terão prioridade.
A maioria dos especialistas em China no mundo da cibersegurança concorda que esse relógio específico já está ticando há anos. Em maio de 2023, a Microsoft, a Agência de Segurança Nacional (NSA) e a CISA anunciaram a descoberta do que chamaram de Volt Typhoon, um grupo de hackers trabalhando a serviço do militares chineses. Os invasores haviam quebrado nas redes de instalações de infraestrutura crítica em todo o território continental dos EUA e no território americano de Guam, atingindo alvos relacionados a tudo, desde manufatura até telecomunicações até a rede elétrica.
Essas invasões foram especialmente alarmantes porque os hackers pareciam ir além da espionagem que se tornou prática padrão para ciberspias estatais chineses. Em vez disso, segundo a Microsoft, estavam "perseguindo o desenvolvimento de capacidades que poderiam perturbar a infraestrutura de comunicações crítica entre os Estados Unidos e a região da Ásia durante futuras crises". Volt Typhoon estava, em outras palavras, "pré-posicionando", como outro advisory da CISA e NSA colocaria no início de 2024, preparando o terreno para ataques cibernéticos amplos visando desabilitar o militar americano em um momento estrategicamente crucial.
À medida que o governo americano e a indústria de cibersegurança continuavam a rastrear o Volt Typhoon, no entanto, ficou claro que a lista de alvos dos hackers não se limitava a redes que permitiriam a sabotagem de ativos militares americanos. Incluíam os sistemas de TI de uma utility de água no Havaí, múltiplos portos americanos e pelo menos um oleoduto e gasoduto que poderia ter relevância militar, mas também centenas de outras entidades, incluindo infraestrutura de água e elétrica tão pequenas quanto os Departamentos de Luz e Água Elétricos de Littleton, em Massachusetts, uma cidade com pouco menos de 10.500 habitantes.
Joe Slowik, ex-pesquisador de cibersegurança do Laboratório Nacional de Los Alamos trabalhando sob contrato para o Departamento de Energia, diz que o Volt Typhoon — ou um grupo hacker relacionado que evoluiu — ainda está mirando a rede elétrica e as utilities de água dos EUA. Algumas dessas invasões são detectadas, afirma Slowik. Outras passam despercebidas, em parte devido aos orçamentos mínimos de segurança das utilities municipais e em parte devido ao modo furtivo de operar dos hackers, conhecido como "viver da terra", que sequestra funções legítimas em uma rede em vez de plantar malware.
Jen Easterly, que serviu como diretora da CISA quando a campanha de hacking da China foi descoberta pela primeira vez, adverte que a IA poderia tornar essa hipótese de sabotagem em massa muito mais plausível, particularmente nos próximos anos, quando seu uso em hacking ofensivo pode superar seu uso pelos defensores.
O cenário modelado pelo jogo de guerra de Corman — 5.000 utilities de água hackeadas — seria sem precedentes. Também não é o resultado mais provável das invasões do Volt Typhoon, adverte Easterly, agora CEO da conferência de cibersegurança RSA. O skala das preparações da China permanece desconhecido, mas sua intenção é clara.
O evento, convocado por uma organização da indústria de seguros chamada CyberAcuView, convidou cerca de 30 executivos de seguros. Allowiram que eu participasse sob a condição de que nenhum deles ou seus empregadores fosse identificado.
Por volta das 13h, após algumas introduções e regras básicas, Corman começa. Ele cita o clássico filme de hackers de 1983, WarGames, dirigindo-se à sala: "Shall we play a game?"
O primeiro dia é 1º de julho de 2027. O New York Times publicou naquela manhã uma manchete sobre crescentes temores de uma invasão chinesa a Taiwan. Um grupo de ransomware cibercriminoso está ocupando cerca de um terço da capacidade de resposta a incidentes de cibersegurança dos EUA. A indústria de cibersegurança está advertindo, enquanto isso, sobre três vulnerabilidades em dispositivos de borda de rede, como firewalls e VPNs — o tipo que o Volt Typhoon tem usado há muito tempo para obter acesso a uma rede de vítima — sendo exploradas por hackers não identificados.
Então os participantes ouvem o verdadeiro tiro de partida: um advisory restrito do governo federal states que milhares de utilities de água foram violadas, seus controles não respondem e relatórios anedóticos sugerem danos físicos.
O segundo dia da simulação chega, e Corman expõe a nova realidade: numerosas tubulações de água em todo o país se romperam. A seca induzida pelo homem se espalhou para hospitais, data centers, refrigeração e manufatura.
Então Corman lança outra curva: ele reproduz uma declaração em vídeo pré-gravada de um oficial militar fictício apelando à ajuda das seguradoras para responder à ameaça geopolítica representada pela China. "Estou mais preocupado com nossa capacidade de proteger nossa mobilidade militar, um elemento chave da segurança nacional", diz o oficial.
Corman distribui a atribuição do dia dois: à medida que a perturbação se espiraliza para fora, como priorizarão agora quais das utilities de água merecem seus recursos? As respostas "maiores-clientes-primeiro" ou "primeiro-chegado-primeiro-atendido" da rodada anterior agora parecem ingenuamente inadequadas. Focarão em restaurar água em lugares onde podem salvar mais vidas, como cidades com muitos hospitais? Ou buscarão minimizar danos econômicos? Ou atenderão ao pedido militar de focar na segurança nacional?
Felizmente, ninguém na sala é um monstro. Após 15 minutos de conversas em grupo, as equipes ao redor da sala proferem o mesmo veredicto: sua primeira prioridade será salvar vidas humanas — embora ninguém detalhe como tomarão as infinitas decisões impossíveis que se seguem a essa resposta.
Mark Camillo, CEO da CyberAcuView, que co-apresentou o jogo de guerra com Corman, diz que os resultados mostram que um ataque cibernético cataclísmico pode bem ser "não segurável": que os custos de tal evento certamente falimentariam a indústria se as seguradoras não invocarem exclusões de ato de guerra que as livrariam da obrigação — o que, por sua vez, causaria danos enormos à confiança que a sociedade americana deposita nos seguros.
Corman diz que a lição maior é que a indústria de seguros, talvez mais do que o governo americano, tem o poder único de mudar tudo — não aprendendo como responder no meio de uma catastrophe de hacking, mas focando em como prevenir uma. Poderia, por exemplo, exigir via políticas de seguro que os clientes se protegam melhor, compelindo clientes a revisar suas redes para os dispositivos de rede vulneráveis e não corrigidos que o Volt Typhoon explora, ou exigindo que participem de grupos de compartilhamento de informações de cibersegurança. Atualmente, afirma Corman, apenas 0,3% das 151.000 utilities de água do país participam dessas organizações.
Fonte: Feed: All Latest
