A "fuga" da Agência Tributária espanhola: quando o pânico digital esconde o verdadeiro problema

No passado dia 31 de janeiro acordámos com uma notícia que, a ser verdade, gelaria o sangue de qualquer responsável de conformidade: uma alegada fuga massiva da Agência Tributária espanhola (AEAT) que comprometeria 47 milhões de registos de cidadãos espanhóis. Segundo o alerta inicial divulgado por empresas de threat intelligence como a HackManac e noticiado por meios como o El País, um ator com o pseudónimo "HaciendaSec" estaria a vender esta informação, que incluiria desde números de identificação fiscal (NIF) até dados bancários. No entanto, antes de cedermos ao pânico coletivo, é nosso dever como profissionais de cibersegurança parar, respirar e analisar os factos com lupa técnica, porque neste puzzle há peças que, francamente, não encaixam.

A primeira coisa que chama a atenção é a identidade do atacante. No ecossistema do cibercrime a reputação é tudo, e o pseudónimo "HaciendaSec" não tem um historial reconhecido nos fóruns da dark web que sustente uma operação desta dimensão. De acordo com várias fontes de threat intelligence, não estamos perante um grupo de ransomware consolidado com infraestrutura conhecida, mas sim perante um perfil que surge do nada a reclamar a "joia da coroa" da administração pública. Isto, por si só, já deveria acender as nossas luzes de ceticismo quanto à veracidade ou, pelo menos, à atualidade dos dados.

A isto soma-se a questão do volume e da capacidade de deteção: extrair 47 milhões de registos de uma infraestrutura crítica como a da Agência Tributária sem fazer disparar um único alarme é, com a tecnologia atual, extremamente improvável. Falamos de um volume de tráfego de dados (exfiltração) que geraria um "ruído" digital ensurdecedor em qualquer SIEM (sistema de gestão de eventos de segurança) moderno. O facto de a própria Agência Tributária ter declarado que, após rever os seus sistemas, não encontrou evidências de intrusão nem bloqueios de serviços dá-nos alguma tranquilidade; se houvesse uma backdoor (porta traseira) ativa a drenar essa quantidade de informação em tempo real, os monitores de tráfego de rede estariam em vermelho incandescente.

Então, se assumirmos que a amostra de dados apresentada pelos atacantes é real (ainda que parcial), de onde vem? É aqui que temos de olhar para lá do ataque de filme. A teoria de um insider ou colaborador desleal que extraia tal volume é possível, mas logisticamente complexa sem deixar rasto forense imediato. Pessoalmente, e com base em casos semelhantes que analisámos no setor, inclino-me para uma hipótese menos sofisticada mas mais dolorosa: a má gestão de ativos tecnológicos obsoletos.

É muito provável que não estejamos perante uma intrusão nos servidores atuais, mas sim perante a "ressurreição" de informação antiga alojada em hardware retirado. Acontece mais vezes do que pensamos: servidores, sistemas de armazenamento ou cópias de segurança em fita são abatidos e saem da organização sem passar por um processo certificado de apagamento seguro ou destruição física. Se um disco rígido com uma base de dados de há três ou quatro anos acabar no mercado de segunda mão sem ter sido devidamente sanitizado, um terceiro pode recuperar essa informação e apresentá-la hoje como um "ataque recente" para inflacionar o seu valor no mercado negro.

A lição que isto deixa às empresas, e especialmente às PME, é crítica: a cibersegurança não termina quando a firewall trava um ataque ou quando o antivírus limpa um ficheiro. A segurança abrange todo o ciclo de vida do dado, até à sua morte. De nada serve ter a fortaleza digital mais inexpugnável se, ao renovar os computadores do escritório ou mudar de servidor, entregarmos os equipamentos antigos a um terceiro sem garantir que a informação que continham foi destruída de forma irrecuperável.

Na Ciberseguridad 720 lembramos sempre que o elo mais fraco nem sempre é um utilizador a clicar num link, mas sim um disco rígido esquecido numa gaveta ou vendido ao peso. A gestão de ativos e o apagamento seguro não são meras formalidades burocráticas; são a última linha de defesa da nossa reputação.

Equipa Ciberseguridad 720