"Portugal está mal preparado para uma guerra cibernética"

Esta transcrição foi gerada automaticamente por Inteligência Artificial e pode conter erros ou imprecisões.

Dezenas de aviões a aterrar de emergência devido a ameaças de bomba que depois não se confirmam, câmaras frigoríficas de bancos de sangue desreguladas, frigoríficos de supermercados em que a temperatura foi colocada a 50 graus e roubos em instituições bancárias. Os últimos dias ficam marcados por um caos gerado por problemas informáticos, muitos deles ligados a ciberataques. O que é que se está a passar com a Europa e de que forma se combatem estes casos? Vamos tentar responder no Explicador de hoje com a ajuda de Pedro Veiga, ex-coordenador do Centro Nacional de Cibersegurança, e Nelson Scravagna, diretor de comunicações e cibersegurança da INOV, Instituto de Engenharia de Sistemas e Computadores e Inovação. Um Explicador que vai ser conduzido a partir de agora pelo Miguel Cordeiro.

Pedro Veiga, Nelson Scravagna, bem-vindos à Rádio Observador. Referimos aqui alguns casos de sabotagem que marcaram os últimos dias, uns com maior ligação ao cibercrime, uns com mais ligação do que outros, na verdade. E eu queria começar precisamente por separar aqui estas águas, estes casos. Eu vou começar pelo que se passa na aviação. Dezenas de aviões a aterrar de emergência depois de várias ameaças de bomba. Aqui não estamos propriamente a falar de ciberataques, ou seja, de ataques diretos aos sistemas dos voos ou das companhias aéreas ou das torres de controle. Estamos a falar de vários casos de envios de e-mail para autoridades com ameaças de bomba. Pedro Veiga, estes casos são de defesa complicada, certo? Estes casos na aviação têm uma defesa complicada. Não estamos aqui a falar de cibercrime propriamente, pois não?

Bom dia, obrigado pelo convite. Vamos ver. A fronteira entre o que se está a verificar neste momento no cibercrime ou na ciberguerra não é fácil, porque também é difícil identificar os protagonistas. Neste caso particular, é algo que foi muito intenso e é basicamente provocar o medo das populações, alarme social. Por exemplo, eu interrogo-me quantas pessoas com medo não terão cancelado as suas viagens de avião ou situações semelhantes. Mas portanto, este tipo de problemas já se verificam há muitos anos. Eu fui coordenador do Centro Nacional de Cibersegurança entre 2016 e 2018 e acompanhei alguns casos que não eram tão intensos. Mas, por exemplo, em 2007 houve um ataque grande, que foi identificado como sendo de entidades russas à Estónia, que levou inclusive à criação de um centro NATO de ciberdefesa, que está localizado na Estónia, em Tallin, e que eu tive a oportunidade de visitar. Portanto, o mundo digital, que é cada vez mais presente no nosso dia a dia, nas nossas empresas, e vimos o caso dos ataques aos frigoríficos, mas coisas desse tipo já se verificam há muitos anos. Eu quando faço apresentações, inclusive para mostrar que são coisas muito antigas, uso slides de ataques a pipelines nos Estados Unidos e muitas outras situações. Só que agora, aproveitando, digamos, a guerra na Ucrânia, a guerra no Golfo, procuram criar medo nas populações para criar alarme social.

A chamada guerra híbrida. Sim.

Exatamente. Guerra híbrida, que tem dimensões que, por exemplo, se recuarmos há um, dois anos, o corte de cabos de fibra ótica, o corte de cabos de distribuição de energia elétrica que se verificaram no Báltico e noutras zonas, mas com grande incidência no Báltico, são também dimensões desta guerra híbrida que estamos a atravessar.

De defesa complicada, naturalmente.

Muito complicada.

Nelson Scravagna, ainda sobre esta questão dos aviões, eu lanço aqui da mesma forma. Isto não é um ataque a sistemas informáticos, apesar de ter aqui algum recurso, emails, muitas vezes contas falsas, alguns agentes também a criar isto, mas a defesa não passa propriamente pela cibersegurança, ou passa?

Bom dia aos dois e obrigado pelo convite. Bom dia à audiência. Mais ou menos. Ou seja, existe aqui uma semelhança no modus operandi, que é a utilização de engenharia social. E quando nós falamos em cibersegurança, não estamos a falar apenas de vulnerabilidades de sistemas. Muitas vezes as pessoas associam a sistemas que estão vulneráveis. Normalmente, estamos a falar em vulnerabilidades de organizações e vulnerabilidades da sociedade. A engenharia social consiste em manipular, de alguma forma, a mensagem, o originador da mensagem, fazer crer que uma determinada mensagem é verdadeira, quando poderá não ser. Ela já existe muito antes de falarmos em sistemas de informação, em sistemas informáticos, em redes, em computadores. É uma técnica de burla, de fraude, que já vem de tempos remotos, mas é utilizada e é se calhar a principal arma hoje em dia no cibercrime. Por isso há este relacionamento. Agora, não estamos aqui a falar do típico cibercrime com motivações financeiras, que é a maior parte do cibercrime que nós assistimos hoje em dia. Assistimos a grupos extremamente organizados a realizar ataques por motivações financeiras. Aqui estamos a falar em algo um pouco diferente, mas as técnicas têm a sua semelhança, ou seja, têm suas bases comuns. Mas este caso específico da aviação não é um ataque a um sistema, a um sistema informático. É um ataque à sociedade, que tenta criar medo, tal como o Pedro Veiga já explicou, tenta criar medo, tenta destabilizar a sociedade.

Sendo que há ciberataques também por outras razões, por razões financeiras, por roubo de informação, por exemplo, bases de dados

Mesmo essas, a maior parte das motivações são financeiras. Nós olhamos para os ciberataques, a grande maioria é por motivações financeiras. Agora estamos a assistir na Europa à utilização de ciberataques, ou de ciberguerra, ou de ações cibernéticas para outros fins. Temos e sempre tivemos também a utilização de ciberataques para fins de ativismo e alguns até para fins quase recreativos. Mas isso é a minoria. A grande maioria dos ataques são por motivações financeiras e foi o caso, por exemplo, das instituições financeiras que foram atacadas nestas últimas semanas, neste último mês. Este misto entre motivação financeira e motivações políticas de ativismo vai sempre coexistir, porque nós vivemos no digital. Por isso, hoje em dia já é quase impossível nós operarmos enquanto sociedade sem digital. Temos uma grande dependência do digital e o digital cresceu de forma desordeira. Se nós olharmos para a engenharia, temos praticamente área nenhuma da engenharia que seja semelhante à engenharia informática, em que nós compramos um produto, adquirimos um produto e não sabemos bem o que estamos a comprar. O fabricante não dá qualquer garantia, a maior parte dos end user agreements que nós assinamos ou que aceitamos quando utilizamos um produto de sistemas de informação, diz-nos basicamente que o produto não tem qualquer garantia. Isso está a mudar na Europa, a Europa está a tentar mudar isso, o Cyber Resilience Act é uma legislação nesse sentido, a nova diretiva do consumo é uma legislação desse sentido, mas não há responsabilização de quem cria sistemas de informação. Isso é único porque é uma área nova de engenharia. Nós não fazemos isso na engenharia civil, é impensável alguém construir uma infraestrutura, seja uma casa, seja uma ponte, e não responder por ela. Não fazemos isto na engenharia eletrotécnica, ou seja, na maior parte das áreas da engenharia existe responsabilização. Isso leva-nos ao estado em que estamos hoje nos sistemas de informação, extremamente vulneráveis, e isso causa uma vulnerabilidade social.

Quando diz extremamente vulneráveis, e antes de passar aqui também ao Pedro Veiga, mais vulneráveis hoje do que estavam há um ano, há dois anos? Estão cada vez mais vulneráveis?

As vulnerabilidades sempre existiram.

Certo.

Hoje é muito mais fácil explorar uma vulnerabilidade com a inteligência artificial, os grandes modelos de linguagem que estão disponíveis a praticamente qualquer ator. Hoje em dia, qualquer entidade com umas centenas de milhares de euros consegue ter um servidor para ele próprio realizar ataques. Nós realizamos investigação no INESC nesse sentido e temos casos de sucesso de explorar vulnerabilidades com o uso de inteligência artificial. Torna-se muito fácil explorar uma vulnerabilidade sem necessitar ter o conhecimento. E além disso, nós podemos dizer a uma LLM, a uma inteligência artificial, para testar milhões e milhões de formas de aceder a um sistema, coisa que um humano nunca teria capacidade. E isso hoje em dia é relativamente barato e está cada vez mais barato. Por isso nós não temos mais vulnerabilidades, elas são é mais fáceis de descobrir. Uma prova disso é, por exemplo, os patch Tuesdays da Microsoft. Acho que toda a gente sabe que à segunda terça-feira de cada mês, a Microsoft realiza uma atualização de segurança. E há cerca de um ano atrás, em 2025, havia cerca de umas dezenas, abaixo de uma centena de atualizações de segurança por mês. Em junho deste ano, tínhamos 198. Em setembro, tínhamos 900. Mês passado tivemos 1400 atualizações de segurança na patch Tuesday da Microsoft, porque eles estão a utilizar inteligência artificial para corrigir vulnerabilidades. Mas tal como a Microsoft utiliza para corrigir, outros utilizam para encontrar e depois explorar. E já não é necessário o conhecimento, ou seja, o conhecimento extremamente especializado que era necessário para descobrir e explorar uma vulnerabilidade.

Ou seja, a existência de um hacker.

Exatamente, um hacker que passou se calhar 20 ou 30 anos a estudar os sistemas para perceber as vulnerabilidades dos sistemas para construir um exploit que pode ser utilizado. Essa barra de entrada ao conhecimento baixou, por isso hoje é mais fácil. É possível com meia dúzia de prompts, é preciso ainda algum conhecimento, mas baixou, o que torna aos grupos, tanto de cibercrimes como outros agentes de ameaça, como é o caso de agentes estatais, um acesso mais facilitado e maior escala. Isto, em conjunto com os nossos sistemas estarem muito vulneráveis porque foram mal construídos de raiz, causa ou aumenta o risco que nós hoje corremos face ao que corríamos há um ano atrás.

Certo, mas vamos falar aqui, por exemplo, da questão dos frigoríficos. Pedro Veiga, estamos a falar, naturalmente, frigoríficos têm aqui uma componente digital em que podem possivelmente até ser operados à distância, regular a temperatura, enviar sistemas de alerta, enviar avisos sobre desregulações na temperatura e portanto, sendo um sistema, tem essas vulnerabilidades em que pode haver uma tentativa de desregular a forma como funciona esse sistema. E foi o que aconteceu, por exemplo, frigoríficos de supermercados passaram para 50 graus de temperatura, sobreaqueceram, alguns até se incendiaram. Aconteceu também com arcas frigoríficas, neste caso, de bancos de sangue em França. Como é que é possível defender um ataque destes?

Com competência, boa engenharia e investimentos em robustecer esses sistemas. Muitas vezes isso não acontece. Um exemplo também que costumo dar quando fazia apresentações, agora já estou aposentado e já faço menos. Por exemplo, sistema de saúde. Suponhamos um hospital, e já agora, em 2016 houve um grande ataque de ransomware que, por exemplo, no Reino Unido paralisou o NHS, portanto, o sistema de saúde.

Nós em Portugal também já tivemos alguns problemas com hospitais também.

Sim, na mesma altura tivemos problemas em Portugal, só que eu, por sigilo profissional, não quero instanciar os casos que conheço em Portugal. Mas o exemplo que costumo dar é o seguinte: suponhamos um conselho de administração de um hospital Que têm um orçamento limitado e todos nós somos bombardeados com a falta de dinheiro. O conselho de administração é confrontado pelos informáticos a dizer: "Para proteger os nossos sistemas de informação é preciso investir, suponhamos, 2 milhões de euros a comprar sistemas mais robustos, sistemas de monitorização de rede, etc." Do outro lado, tem a parte clínica a dizer: "Nós precisamos de 20 e tal milhões de euros, porque senão começam a morrer pessoas." O conselho de administração muitas vezes a decisão que toma é não investir em infraestruturas. E, portanto, os sistemas de informação que são cruciais, porque se param, paralisam a parte médica, mas muitas vezes no conselho de administração não há a visibilidade da necessidade de investir em tecnologias para proteger toda a infraestrutura, que é crescentemente dependente do digital. Em 2015 foi publicada uma diretiva europeia que incidia exatamente sobre um conjunto de sectores de energia, transportes, sistemas bancários, sistemas de saúde, mas depois não se investe dinheiro. Depois também há uma grande falta de qualificação dos nossos técnicos. Como disse o meu colega Nelson Scravagna, a área de engenharia informática é uma área que é um bocadinho maltratada. Como há muita falta de recursos humanos, qualquer vivaço que sabe fazer uma folha Excel anuncia-se como informático e pretende implementar soluções. Isso nem sempre é verdade. São precisas uma série de competências que não são fáceis de obter, obrigam a uma atualização permanente. Os desafios são cada vez crescentes. Recordo que há duas semanas descobriu-se a fragilidade no PHP, há uns anos tinha-se descoberto fragilidades no FFL e as pessoas a vários níveis, quer a nível individual, em que as pessoas, apesar dos alertas que recebem, continuam a cair nas parrelas do ou pai ou mãe, a chamada engenharia social, mas depois a nível dos conselhos de administração, não existe assento, na maioria das vezes, para especialistas na área da segurança informática e os sistemas informáticos hoje em dia estão cada vez mais omnipresentes. O sistema de tráfego aéreo é um sistema muito crítico, como eu referi há pouco, está na directiva. Se bem que estes acontecimentos que têm acontecido nos últimos dias não incidem sobre a segurança tecnológica, é mais para causar medo das populações, alarme social. E diz-se que por detrás disso estão países como o Irão, a Rússia, a Coreia do Norte. A Coreia do Norte, inclusive, foi responsabilizada de uma maneira informal sobre o ataque a um sistema muito relevante de criptomoedas. Mas depois, também, eles escondem-se por detrás de regimes com jurisdições que não protegem as pessoas. E mesmo que seja identificado o criminoso, alguns países não o extraditam.

Sim, neste sentido, Pedro, Nelson, eu tenho uma pergunta, estamos a caminhar para o final do nosso tempo, mas que é direcionada a Portugal. Nelson, eu começo por si. Em Portugal, qual é o nosso ponto de situação? Estamos bem, estamos mal, estamos péssimos naquilo que é a resposta que conseguimos dar a situações de ciberataques?

Estamos mal. Não vou dizer que estamos muito pior que o resto da Europa. Estamos todos mal. Estamos mal em questões de competências, porque temos poucas competências. Estamos mal, principalmente nas pequenas e médias empresas e na administração pública. Ou seja, a administração pública, também por condicionantes do seu próprio funcionamento, tem limites também à contratação de especialistas, por isso tem muito poucos especialistas. Isso, se olharmos, tem uma grande capilaridade do ponto de vista territorial. Temos municípios que estão extremamente mal. Muitos deles são entidades consideradas importantes ou essenciais no âmbito da nova directiva, da NIS2, e não têm competências, não têm técnicos. Temos municípios em que a pessoa que é o responsável de informática, são pessoas que sabiam escrever à máquina um pouco melhor que eu há 20 anos e seguiram uma carreira, mas que não têm formação profissional, que fazem milagres com os poucos recursos que têm.

Portanto, estamos mal.

Estamos muito mal e com o aumento da capacidade dos atacantes e a facilidade de realizar ataques, nós vamos sofrer, tal como toda a Europa e todo o mundo ocidental vai sofrer, cada vez mais ataques. Por isso, temos um caminho longo a percorrer.

Pedro Veiga, faço-lhe a mesma questão. Foi coordenador do Centro Nacional de Cibersegurança. Estamos mal, já estivemos pior ou agora as coisas ainda estão piores do que quando era líder desse centro nacional?

Esqueçam temporariamente a minha passagem pelo centro, até porque eu saí antes do fim da minha nomeação por três anos, por discordar, porque pedi recursos ao governo, na altura à ministra da presidência, e não me foram atribuídos e, portanto, violou uma das condições que eu tinha ido para lá. Neste momento, não acompanho tão de perto o que se passa no Centro de Cibersegurança, mas o nosso país, eu diria que está, como em muitos outros indicadores, com exceção do futebol, está abaixo da média europeia. Não investimos o suficiente, não há uma cultura de segurança e isso é bastante preocupante.

Fica esse diagnóstico. Pedro Veiga, Nelson Scravagna, muito obrigado por terem estado conosco na Rádio Observador.