Depois de atingirem sistemas de refrigeração de supermercados em vários países europeus, os ataques informáticos chegaram a três instalações do Serviço Francês de Sangue. O incidente, que não provocou perdas de produtos sanguíneos, evidencia os riscos associados à exposição dos sistemas de tecnologia operacional (OT), à gestão remota de equipamentos e à dependência de prestadores externos para o funcionamento de serviços essenciais.

A segurança das infra-estruturas críticas europeias enfrenta uma dimensão de risco que nem sempre recebe a mesma atenção que os ataques dirigidos a redes informáticas, bases de dados ou sistemas de informação: a possibilidade de comprometer remotamente os equipamentos físicos que asseguram o funcionamento de serviços essenciais.

Uma sucessão de incidentes registados em França e noutros países europeus veio colocar esta questão em evidência. Depois de várias cadeias de supermercados terem sido alvo de intrusões nos sistemas de controlo da refrigeração, foram identificados ataques semelhantes em três instalações regionais do Établissement Français du Sang (EFS), o Serviço Francês de Sangue.

O incidente, ocorrido na madrugada de 2 de Novembro e confirmado pelas autoridades francesas a 4 de Novembro, afectou sistemas de monitorização e controlo de câmaras frigoríficas utilizadas para conservar produtos sanguíneos. Segundo o EFS, os atacantes conseguiram alterar os parâmetros de temperatura e descongelação dos equipamentos, elevando-os para níveis muito elevados.

As instalações armazenavam, entre outros produtos, plasma destinado a transfusões e ao fabrico de medicamentos. A intervenção dos sistemas de monitorização e alarme permitiu detectar as alterações e mobilizar as equipas técnicas, que transferiram ou protegeram os produtos antes de estes serem comprometidos. Não foram registadas perdas de produtos sanguíneos nem consequências para os doentes, e as operações de recolha e distribuição continuaram sem interrupções.

O incidente teve origem nos sistemas de um prestador externo responsável pelos equipamentos de refrigeração. O EFS esclareceu que não foi directamente visado pelo ataque, enquanto o fornecedor indicou que a vulnerabilidade reportada estava relacionada com um componente de terceiros.

A Agência Nacional de Segurança dos Sistemas de Informação francesa (ANSSI) e o Ministério da Saúde estão a acompanhar o caso. O acesso remoto aos equipamentos afectados foi desactivado e as investigações procuram determinar como ocorreu a intrusão, quais os sistemas potencialmente comprometidos e em que condições poderão regressar ao funcionamento normal.

Quando a tecnologia operacional se transforma num ponto de entrada

O caso francês demonstra que a protecção de uma infra-estrutura não pode ficar limitada aos sistemas informáticos tradicionais. Equipamentos de refrigeração, sistemas de climatização, controladores industriais, sensores e plataformas de monitorização integram ambientes de tecnologia operacional (OT), responsáveis por controlar processos físicos e assegurar condições de funcionamento.

Ao contrário dos sistemas de tecnologias de informação (IT), cuja principal função passa pelo processamento, armazenamento e transmissão de dados, os sistemas OT têm uma relação directa com o mundo físico. Uma alteração não autorizada de parâmetros pode comprometer temperaturas, pressões, níveis de energia, funcionamento de máquinas ou outros processos essenciais.

A crescente ligação destes equipamentos à Internet e a plataformas de gestão remota trouxe vantagens operacionais, nomeadamente ao nível da monitorização, manutenção e eficiência. Contudo, também aumentou a superfície de exposição a ameaças informáticas, sobretudo quando existem acessos remotos insuficientemente protegidos, equipamentos desactualizados ou dependências tecnológicas que não são devidamente controladas.

É precisamente esta dimensão que torna os incidentes recentes particularmente relevantes. Os atacantes não precisaram de comprometer directamente os sistemas clínicos ou as plataformas de gestão do serviço de sangue francês. A alteração dos parâmetros de funcionamento dos equipamentos de conservação foi suficiente para criar um risco potencial sobre produtos essenciais à actividade hospitalar.

Da cadeia alimentar aos serviços de saúde

Os ataques aos sistemas de refrigeração dos supermercados europeus, registados também na madrugada de 2 de Novembro, apresentam semelhanças operacionais com o incidente no EFS.

Em vários países, equipamentos de refrigeração comercial foram manipulados remotamente, provocando a subida das temperaturas e a deterioração de produtos alimentares. Em Portugal, sete lojas de uma multinacional foram afectadas. Segundo a empresa, o incidente envolveu um prestador externo responsável pela gestão dos sistemas de refrigeração.

Estes episódios sucedem a uma vaga anterior de ataques em França, em Outubro, que afectou centenas de supermercados e provocou perdas significativas de produtos alimentares.

Apesar das semelhanças e da proximidade temporal, não existe, até ao momento, confirmação de que os ataques aos supermercados e às instalações do EFS tenham a mesma origem ou autoria.

O que os aproxima é a natureza dos sistemas atingidos e o potencial impacto da sua manipulação. Num caso, está em causa a conservação de alimentos e a continuidade da cadeia de abastecimento; no outro, a preservação de produtos sanguíneos destinados a hospitais e à produção de medicamentos.

A diferença de contexto não diminui a importância do problema. Pelo contrário, demonstra como uma vulnerabilidade aparentemente circunscrita a um equipamento técnico pode ter consequências muito diferentes consoante a actividade e o serviço que dele dependem.

A segurança dos prestadores externos também é segurança da infra-estrutura

Outro aspecto que merece atenção é a intervenção de fornecedores e prestadores de serviços na operação de sistemas essenciais.

No incidente francês, o acesso aos equipamentos de refrigeração estava associado a um prestador externo. Esta circunstância coloca em evidência os riscos da cadeia de fornecimento tecnológica e a necessidade de assegurar que os requisitos de cibersegurança abrangem não apenas os sistemas directamente geridos pela organização, mas também os equipamentos, aplicações, acessos e serviços disponibilizados por terceiros.

A gestão de acessos remotos, a segmentação das redes IT e OT, a actualização de software e firmware, a identificação de equipamentos expostos à Internet e a monitorização contínua de alterações nos parâmetros operacionais são algumas das dimensões fundamentais para reduzir este tipo de risco.

Também a existência de mecanismos independentes de alarme, procedimentos de intervenção manual e planos de contingência assume particular importância. No caso do EFS, foram precisamente os sistemas de monitorização e a capacidade de resposta das equipas técnicas que impediram que a intrusão se traduzisse em perdas de produtos sanguíneos.

Infra-estruturas críticas perante um risco cada vez mais transversal

A protecção das infra-estruturas críticas exige uma abordagem que integre segurança física, cibersegurança, continuidade de negócio e gestão de risco tecnológico.

Os incidentes recentes demonstram que os sistemas que asseguram funções essenciais podem ser afectados sem que exista um ataque directo às plataformas centrais de uma organização. Uma falha ou manipulação num equipamento de suporte pode comprometer a operação de uma instalação, afectar a cadeia de abastecimento ou colocar em risco a disponibilidade de bens e serviços essenciais.

Num contexto de crescente interligação tecnológica, a resiliência depende também da capacidade de identificar estas dependências, avaliar os riscos associados a terceiros e garantir que existem mecanismos de detecção e resposta adequados.