Seguro, até que...

Não se sabe se hackers invadiram o sistema elétrico, mas dada a facilidade, por que não o fariam?

Sistemas como os que controlam a produção de energia, tráfego aéreo, gasodutos e refinarias pertencem a uma classe denominada Scada (supervisory control and data acquisition systems) e sua principal característica de projeto é a continuidade de sua operação face aos enormes prejuízos que podem ser causados por uma interrupção em seu funcionamento. Em engenharia de hardware e software, essas características são chamadas requisitos; logo, podemos dizer que um sistema que controla a produção e/ou distribuição de energia foi projetado tendo como principal requisito a continuidade. O leitor pode achar que continuidade está associada a segurança, mas este não é necessariamente o caso. No intuito de atender a requisitos de velocidade de tratamento de informação, o desenho da maior parte dos sistemas de informação relega os requisitos de segurança a um segundo plano. A consequência mais direta é que se tenda a implementar sistemas Scada sobre um conjunto de protocolos de comunicação e sistemas base antigos e inseguros. E isso ocorre porque o processo de evolução de sistemas de controle de grande porte é sempre crítico, pois cada nova funcionalidade deve ser extensivamente testada. Em resumo, sistemas Scada tendem a ser alvo fácil para hackers, dada a fragilidade de sua própria infraestrutura. Como contramedida, espera-se que tais sistemas funcionem em ambientes isolados, principalmente das redes que tenham acesso à internet. Não se sabe se esse é o caso do projeto de segurança da rede elétrica brasileira, mas em vários outros sistemas, tão críticos quanto, tal isolamento não é uma característica presente.Agora, a teoria da conspiração: o incidente elétrico dessa semana aconteceu menos de 24 horas depois de o governo brasileiro negar que os apagões de 2005 e 2007 tenham sido causados por terroristas digitais, os crackers (http://bit.ly/3cSVs). Por um lado, o que se tem sobre aqueles dois apagões são teorias, para muitos fantasiosas, sobre intervenção humana desligando o sistema. Por outro, parte da comunidade de segurança de informação consegue imaginar como poderia ter acontecido. No Brasil e em outros países ouvem-se notícias como "hacker sequestra senha de servidor de ministério e exige US$ 350 mil de resgate". Esse novo perfil de atacante difere do antigo. Antes se almejava fama; agora o objetivo é material. Hacking está se transformando em negócio, às vezes parte do crime organizado. Hoje, falhas de sistemas são vendidas no mercado virtual, como pode ser visto na reportagem do link http://bit.ly/aU4A2. Para comparar com o sistema elétrico, sistemas bancários também são críticos e atacados de uma miríade de formas, e dificilmente se chega a quem realmente faz o "programa" de ataque. Ao contrário. Prendem-se, vez por outra, adolescentes que realizam ataques, mas os autores intelectuais continuam à solta. Então, por que não um ataque a um sistema de geração e distribuição de energia? Suposições são muitas e mereceriam uma investigação, até para concluir que, sim, o sistema é seguro, e descartar a hipótese de vulnerabilidade do software e hardware por trás da operação.No sistema elétrico, o Brasil vem investindo na modernização dos sistemas existentes e no desenvolvimento de novos. Como já dissemos, esses processos são lentos. Logo após o blecaute apareceu a imagem de uma interface de um sistema do Operador Nacional do Sistema (ONS) em uma lista de discussão sobre segurança. Segundo quem a inseriu na lista, seria o Sistema de Administração de Contratos de Transmissão (Sact), passível de ser invadido com uma técnica de ataque consideravelmente rudimentar, o que levantou a suspeita de que os sistemas críticos de energia não estão tão isolados assim.Um fator importante a ser levado em consideração é que este ano o ONS começou a cobrar das empresas que compõem o sistema energético nacional a definição e adoção de procedimentos e normas relacionadas à segurança de informação. Isso pode ser comprovado por meio das muitas licitações que estão sendo abertas pelo setor. E pode ser um indicador de que os problemas de segurança do sistema elétrico ainda estejam sem solução e somente agora isso esteja sendo considerado.Por fim, vale salientar que, caso o blecaute tenha sido causado por um ataque de hackers, o Brasil não teria sido o primeiro e nem o último país a passar por tal problema. Países como Geórgia, Austrália, Estados Unidos e outros têm relatos de ataques desse tipo; a diferença fundamental é como as autoridades tratam tais questões.Não se pode afirmar que o apagão tenha sido ou não obra de hackers. Mas pode-se afirmar que, devido à criticidade desses sistemas, é necessário que a sua segurança seja reconsiderada continuamente, havendo blecautes ou não. Pois a norma, infelizmente, em sistemas muito críticos, é o continuado vazamento de informações combinado com uma grande dificuldade de identificar suas causas. E informação, como se sabe, não tem vontade própria: se saiu de onde deveria estar é porque alguém a tirou de lá. Consultor de segurança do Centro de Estudos e Sistemas Avançados do Recife