O ataque a Hof van Twente (2020): 5 lições para os municípios

O que aconteceu

Os atacantes entraram através de uma palavra-passe fraca numa conta de administração, para a qual, além disso, a autenticação de dois fatores estava desativada. Acresce que, havia já bastante tempo, uma porta de acesso (RDP) de um servidor estava aberta para a internet. Assim, os criminosos puderam cifrar os sistemas e, o que é crucial, inutilizar também as cópias de segurança.

A recuperação a partir de uma cópia de segurança limpa deixou, por isso, de ser uma opção. O município teve de reconstruir muito de raiz; os serviços aos cidadãos estiveram desorganizados durante semanas. O prejuízo total foi estimado em cerca de quatro milhões de euros, ao passo que os atacantes exigiram um resgate muito inferior. O município não pagou.

Lição 1: As cópias de segurança só o são verdadeiramente se estiverem offline

A lição mais dolorosa: se as suas cópias de segurança estiverem ligadas à mesma rede, o ransomware cifra-as também. Assegure cópias de segurança offline ou inalteráveis (immutable) que não sejam acessíveis a partir da rede normal.

Além disso, teste com regularidade se consegue efetivamente recuperar a partir de uma cópia de segurança. Uma cópia de segurança que nunca restaurou é um pressuposto, não uma certeza.

Lição 2: Ter o básico em ordem evita a maior parte dos problemas

O ataque não foi nenhuma proeza. Falhou no básico. Esse básico está ao alcance de qualquer município.

• Palavras-passe fortes e únicas e autenticação de dois fatores obrigatória, sobretudo nas contas de administração.
• Nenhum acesso de administração (como o RDP) diretamente aberto para a internet.
• Aplicar correções (patches) atempadamente e desativar serviços desnecessários.
• Segmentação da rede, para que uma infeção não se possa propagar por toda a parte.

Lição 3: Comunique com os cidadãos sobre os serviços indisponíveis

Para os cidadãos não conta a tecnologia, mas a pergunta: posso pedir o meu passaporte, o meu subsídio, a minha licença? Seja rápido e honesto nesse ponto: que serviços estão paralisados, que alternativas existem e quando haverá mais informações.

Sempre que possível, disponibilize um balcão de emergência ou uma via telefónica. E repita a mensagem de forma coerente em todos os canais. A falta de clareza aumenta o descontentamento mais do que a própria falha.

Lição 4: Envolva o jurídico e a privacidade desde o primeiro minuto

Num ataque informático, muitas vezes são subtraídos dados pessoais. Isso faz com que não seja apenas uma crise informática, mas também uma questão de privacidade. Por isso, envolva de imediato o encarregado da proteção de dados e a competência jurídica, e avalie se existe uma violação de dados.

Uma violação de dados deve ser notificada no prazo de 72 horas à Autoriteit Persoonsgegevens e, em caso de risco elevado, deve informar os cidadãos afetados. Peritos forenses externos ajudam na investigação; registe quem faz o quê e quando.

Lição 5: Governação e obrigações de notificação (NIS2, BIO2, RGPD)

Uma conclusão importante em Hof van Twente foi que os sinais sobre a segurança da informação não chegavam suficientemente à administração. Por isso, atribua a segurança da informação ao nível da administração, com um CISO e um orçamento próprio, e assegure que os riscos sejam visíveis.

Os municípios regem-se pela BIO2 e pelo RGPD e estão abrangidos pela Lei de Cibersegurança (NIS2). Um ciberincidente deve ser notificado ao NCSC e ao CSIRT setorial; uma violação de dados, no prazo de 72 horas, à Autoriteit Persoonsgegevens. Recorra à Informatiebeveiligingsdienst (IBD) dos municípios e registe todas as notificações.

Como o CrisisRadar ajuda nisto

O CrisisRadar reúne a direção, o CISO, o encarregado da proteção de dados, a assessoria de imprensa e peritos externos num quadro de crise partilhado. Regista os factos com a respetiva fonte, elabora em minutos uma mensagem aos cidadãos e uma notificação para a autoridade de supervisão e, com os temporizadores das obrigações de notificação, controla os prazos do RGPD e da NIS2. As entidades forenses externas colaboram através de um acesso de convidado seguro e temporário.

Quer ver como um ciberataque com violação de dados se apresenta, passo a passo, na plataforma? Consulte então a situação prática correspondente.

Stappenplan

Veelgestelde vragen

Como pôde o município de Hof van Twente ser pirateado?

Os atacantes entraram através de uma palavra-passe fraca numa conta de administração sem autenticação de dois fatores, ao mesmo tempo que uma porta de administração (RDP) estava aberta para a internet. Assim, puderam cifrar os sistemas e até as cópias de segurança.

Porque é que o município não pôde simplesmente recuperar a partir de uma cópia de segurança?

Porque as cópias de segurança estavam ligadas à mesma rede e, por isso, foram também cifradas. Isto mostra por que motivo as cópias de segurança devem estar offline ou ser inalteráveis e por que motivo deve testar a recuperação com regularidade.

Que obrigação de notificação se aplica a um ciberataque a um município?

Uma violação de dados deve ser notificada no prazo de 72 horas à Autoriteit Persoonsgegevens; em caso de risco elevado, deve informar os cidadãos. Um ciberincidente deve ser notificado ao abrigo da Lei de Cibersegurança (NIS2) ao NCSC e ao CSIRT. Os municípios recorrem também à Informatiebeveiligingsdienst (IBD).