Pessoas de todo o mundo podem estar preocupadas com o aumento das tensões nucleares, mas acho que estão perdendo o fato de que um grande ataque cibernético pode ser igualmente prejudicial - e os hackers já estão lançando as bases.
Com os EUA e a Rússia se retirando de um importante pacto de armas nucleares - e começando a desenvolver novas armas nucleares - mais as tensões do Irã e da Coréia do Norte novamente testando mísseis, a ameaça global à civilização é alta. Alguns temem uma nova corrida armamentista nuclear.
Essa ameaça é séria - mas outra poderia ser tão séria e é menos visível ao público. Até agora, a maioria dos incidentes conhecidos de hackers, mesmo aqueles com apoio de governos estrangeiros, fizeram pouco mais do que roubar dados. Infelizmente, há sinais de que hackers colocaram software malicioso nos sistemas de energia e água dos EUA, onde ele está à espera, pronto para ser acionado. Os militares dos EUA também invadiram os computadores que controlam os sistemas elétricos russos.
Muitas intrusões já
Como alguém que estuda segurança cibernética e guerra de informações, estou preocupado que um ataque cibernético com impacto generalizado, uma invasão em uma área que se espalhe para outras ou uma combinação de muitos ataques menores, possa causar danos significativos, incluindo ferimentos em massa e morte, rivalizando com o número de mortos de uma arma nuclear.
Ao contrário de uma arma nuclear, que vaporiza as pessoas a 30 metros e mata quase todo mundo a 800 metros, o número de mortos na maioria dos ataques cibernéticos seria mais lento. As pessoas podem morrer por falta de comida, energia ou gás devido ao calor ou por acidentes de carro resultantes de um sistema de semáforo corrompido. Isso pode acontecer em uma área ampla, resultando em ferimentos em massa e até mortes.
Isso pode parecer alarmista, mas veja o que vem acontecendo nos últimos anos, nos EUA e em todo o mundo.
No início de 2016, os hackers assumiram o controle de uma estação de tratamento dos EUA para beber água e alteraram a mistura química usada para purificar a água. Se mudanças tivessem sido feitas - e passadas despercebidas - isso poderia levar a envenenamentos, suprimento de água inutilizável e falta de água.
Em 2016 e 2017, hackers fecharam as principais seções da rede elétrica na Ucrânia. Esse ataque foi mais suave do que poderia ter sido, pois nenhum equipamento foi destruído durante o ataque, apesar da capacidade de fazê-lo. As autoridades pensam que ele foi projetado para enviar uma mensagem. Em 2018, cibercriminosos desconhecidos obtiveram acesso em todo o sistema elétrico do Reino Unido; em 2019, uma incursão semelhante pode ter penetrado a grade dos EUA.
Em agosto de 2017, uma planta petroquímica da Arábia Saudita foi atingida por hackers que tentaram explodir equipamentos, controlando os mesmos tipos de eletrônicos usados em instalações industriais de todos os tipos em todo o mundo. Apenas alguns meses depois, os hackers desligaram os sistemas de monitoramento de oleodutos e gasodutos nos EUA. Isso causou principalmente problemas logísticos - mas mostrou como os sistemas de um contratado inseguro poderiam causar problemas para os principais.
O FBI até alertou que os hackers estão mirando instalações nucleares. Uma instalação nuclear comprometida pode resultar na descarga de material radioativo, produtos químicos ou mesmo possivelmente no colapso do reator. Um ataque cibernético pode causar um evento semelhante ao incidente em Chernobyl. Essa explosão, causada por erro inadvertido, resultou em 50 mortes e evacuação de 120.000 e deixou partes da região inabitáveis por milhares de anos no futuro.
Destruição garantida mútua
Minha preocupação não é minimizar os efeitos devastadores e imediatos de um ataque nuclear. Pelo contrário, é importante ressaltar que algumas das proteções internacionais contra conflitos nucleares não existem para ataques cibernéticos. Por exemplo, a idéia de "destruição mútua garantida" sugere que nenhum país deve lançar uma arma nuclear em outra nação armada: o lançamento provavelmente seria detectado e a nação alvo lançaria suas próprias armas em resposta, destruindo ambas as nações.
Os ciberataques têm menos inibições. Por um lado, é muito mais fácil disfarçar a fonte de uma incursão digital do que esconder de onde um míssil decolou. Além disso, a guerra cibernética pode começar pequena, visando até um único telefone ou laptop. Ataques maiores podem ter como alvo empresas, como bancos ou hotéis, ou uma agência governamental. Mas esses não são suficientes para escalar um conflito para a escala nuclear.
Ciberataques de nível nuclear
Existem três cenários básicos para o desenvolvimento de um ataque cibernético de nível nuclear. Poderia começar modestamente, com o serviço de inteligência de um país roubando, excluindo ou comprometendo os dados militares de outra nação. Rodadas sucessivas de retaliação podem expandir o escopo dos ataques e a gravidade dos danos à vida civil.
Em outra situação, uma nação ou organização terrorista poderia desencadear um ataque cibernético maciçamente destrutivo - tendo como alvo várias concessionárias de eletricidade, instalações de tratamento de água ou plantas industriais de uma só vez ou em combinação entre si para agravar os danos.
Talvez a possibilidade mais preocupante, porém, seja que isso possa acontecer por engano. Em várias ocasiões, erros humanos e mecânicos quase destruíram o mundo durante a Guerra Fria; algo análogo poderia acontecer no software e hardware do domínio digital.
Defesa contra desastres
Assim como não há como se proteger completamente contra um ataque nuclear, há apenas maneiras de tornar menos prováveis os ataques cibernéticos devastadores.
A primeira é que governos, empresas e pessoas comuns precisam proteger seus sistemas para impedir que invasores externos encontrem seu caminho e depois explorem suas conexões e acesso para mergulhar mais fundo.
Sistemas críticos, como os de serviços públicos, empresas de transporte e empresas que usam produtos químicos perigosos, precisam ser muito mais seguros. Uma análise constatou que apenas um quinto das empresas que usam computadores para controlar máquinas industriais nos EUA monitoram seus equipamentos para detectar possíveis ataques - e que em 40% dos ataques sofridos, o invasor estava acessando o sistema para mais de um ano. Outra pesquisa constatou que quase três quartos das empresas de energia haviam experimentado algum tipo de invasão de rede no ano anterior.
