O Departamento de Defesa dos Estados Unidos investiga se as falhas de refrigeração registadas em agosto em lojas de instalações militares foram causadas por um ciberataque. O inquérito surge após um incidente em França, onde sistemas de refrigeração de supermercados foram manipulados remotamente, provocando a perda de alimentos e incêndios. Os equipamentos e os padrões das falhas parecem semelhantes, mas não há provas de ligação entre os casos, nem confirmação de que os incidentes nos EUA tenham envolvido pirataria informática.
As consequências podem ir além da interrupção dos equipamentos. Quando a refrigeração falha, a perda de alimentos é muitas vezes irreversível. As lojas militares também fornecem bens de uso diário a militares e às suas famílias, pelo que uma interrupção prolongada pode dificultar o acesso a produtos essenciais nas bases.
Falhas em lojas de sete instalações militares
A investigação conjunta é liderada pelo Serviço de Investigação Criminal do Departamento de Defesa, integrado no Gabinete do Inspetor-Geral. O Pentágono recusou comentar um inquérito policial em curso, invocando motivos de segurança.
Em agosto, foram registados problemas de refrigeração em lojas de pelo menos sete instalações militares: Fort Irwin, na Califórnia; Holloman Air Force Base, no Novo México; Naval Station Newport, em Rhode Island; Little Rock Air Force Base, no Arkansas; F.E. Warren Air Force Base, no Wyoming; Robins Air Force Base, na Geórgia; e Fort Huachuca, no Arizona.
Estas lojas vendem habitualmente produtos subsidiados a militares e familiares, com preços em geral cerca de 25% inferiores aos dos supermercados civis. Uma avaria prolongada pode gerar custos de reparação, perda de inventário e perturbações no abastecimento das bases. A informação pública não quantifica os prejuízos nos EUA nem esclarece se os investigadores encontraram indícios de acesso não autorizado aos equipamentos.
Christopher White, professor associado de segurança interna e preparação para emergências na Virginia Commonwealth University, afirmou que a semelhança entre as falhas em supermercados franceses e lojas militares norte-americanas, num intervalo de cerca de dois meses, justifica uma análise cuidadosa. No entanto, essa semelhança não prova que os casos tenham sido obra do mesmo atacante — nem sequer que os incidentes nos EUA tenham sido ciberataques.
Supermercados franceses estimaram perdas de 270 mil euros
Em outubro, sistemas de refrigeração e congeladores de centenas de supermercados franceses foram manipulados durante a noite, levando as temperaturas a ultrapassar os 122 °F. Houve alimentos deteriorados e incêndios em alguns locais. Entre os retalhistas afetados estavam 80 lojas Carrefour, cerca de 24 Monoprix e 150 Intermarché. O Ministério Público de Paris classificou o caso como um ataque de «grande escala», enquanto falhas semelhantes foram reportadas noutros pontos da Europa.
A Intermarché e a E.Leclerc estimaram em conjunto as perdas de inventário em 270 mil euros, ou cerca de 300 mil dólares. White salientou que a deterioração dos alimentos representa um custo direto e difícil de reverter: reparar o equipamento não recupera os produtos danificados por temperaturas descontroladas. Muitos prejuízos associados a ciberincidentes, pelo contrário, são indiretos.
Um alerta de segurança das autoridades francesas indicou que os incidentes envolveram controladores remotos de sistemas de refrigeração, incluindo equipamentos das séries Danfoss AK-SM e AK-SC e dispositivos xweb e Dixell xweb da Copeland. O firmware dos equipamentos afetados estava desatualizado, e os atacantes poderão ter acedido aos sistemas através da internet, explorando vulnerabilidades. França e Estados Unidos também cooperam na investigação dos supermercados. A partilha de informação sobre técnicas e equipamentos pode apoiar o inquérito, mas não demonstra que os incidentes franceses e norte-americanos estejam relacionados.
Controladores ligados à internet podem abrir portas
Nadia Kostiuk, professora assistente no Instituto de Estratégia e Tecnologia da Carnegie Mellon University, afirmou que os dispositivos ligados à internet estão a ganhar funcionalidades, mas que a segurança nem sempre acompanha essa evolução. Os controladores de refrigeração podem tornar-se um ponto de entrada se o firmware não for atualizado atempadamente ou se as medidas de controlo de acesso forem insuficientes. Segundo Kostiuk, os fabricantes devem integrar a segurança desde a conceção dos produtos, enquanto os operadores devem reavaliar as possíveis vias de ataque nos equipamentos já em utilização.
White acrescentou que os sistemas comerciais de refrigeração utilizam frequentemente equipamentos semelhantes em várias lojas da mesma cadeia. Se os atacantes identificarem um ponto vulnerável num tipo de sistema, poderão tentar aplicar a mesma técnica noutros locais. Como as falhas podem estragar mercadorias e perturbar o abastecimento, esses sistemas podem interessar a agentes que procurem provocar efeitos concretos.
Gregory Winger, professor assistente de relações internacionais e cibersegurança na University of Maryland, Baltimore County, afirmou que agentes ligados a Estados, incluindo Rússia, China, Irão e Coreia do Norte, por vezes conduzem operações cibernéticas aparentemente sem relação entre si, mas que poderão estar conectadas. A partilha de indicadores e detalhes técnicos entre aliados é importante para identificar esse tipo de atividade, disse. Mesmo que se conclua que as falhas nas lojas militares dos EUA e os incidentes nos supermercados franceses tiveram autores diferentes, a investigação conjunta entre os dois países poderá facilitar a troca de informações.
Continuidade do abastecimento também está em causa
O Center for Strategic and International Studies registou mais de dez grandes incidentes cibernéticos apenas em setembro. A Cybersecurity Ventures estima que o cibercrime possa custar 10,8 biliões de dólares à economia mundial este ano, mais de três vezes os 3 biliões estimados para 2015. O desenvolvimento rápido da inteligência artificial e o número crescente de dispositivos domésticos e industriais ligados à internet ampliam tanto as capacidades de ataque como o conjunto de alvos potenciais.
A logística militar também depende do fornecimento regular de alimentos, produtos de higiene e outros bens essenciais. O porta-aviões USS Abraham Lincoln regressou este mês a San Diego após uma missão de 265 dias. Durante a missão relacionada com a guerra no Irão, a tripulação enfrentou, entre outros problemas, escassez de alimentos e de produtos de higiene, com efeitos no moral e na saúde mental. Esta experiência evidencia a importância da continuidade do abastecimento, mas não há informação que ligue o porta-aviões à investigação sobre as falhas de refrigeração.
O Pentágono ainda não divulgou conclusões nem confirmou a causa das avarias nas bases norte-americanas. Os investigadores terão de apurar se houve intrusões nas redes, se os equipamentos tinham vulnerabilidades exploráveis à distância e se os casos dos EUA e de França partilham alguma ligação técnica ou operacional.