Um ciberataque contra os sistemas informáticos da Administração de Moldávia comprometeu os dados pessoais de cerca de 450.000 pessoas, perto de 19% da população do país. A presidente, Maia Sandu, confirmou nesta sexta-feira o alcance da infiltração e reconheceu que as instituições não detetaram nem comunicaram atempadamente a gravidade do incidente, que deixou a descoberto importantes deficiências na proteção da informação pública.
A intrusão ocorreu entre o 19 e o 23 de outubro e permitiu aceder a informação armazenada nos registos de pelo menos dez instituições estatais. Entre os dados comprometidos figuram nomes, informação de saúde, pensões, prestações sociais, vínculos familiares e determinados dados financeiros.
O número de afetados representa uma revisão em baixa face às primeiras estimativas oficiais, que apontavam para 750.000 pessoas. No entanto, o Governo moldavo reconhece que a dimensão do incidente continua a ser considerável e anunciou que os cidadãos afetados receberão notificações individuais.
Sandu convocou o Conselho Nacional de Segurança para examinar o que aconteceu e coordenar a resposta das instituições. A presidente alertou especialmente para o risco de a informação roubada ser utilizada para fraudes telefónicas, mensagens fraudulentas e usurpações de identidade.
Uma falha permitiu aceder aos registos de dez instituições
A investigação preliminar identificou problemas na conceção dos sistemas de troca de informação da Administração moldava.
Segundo explicou Sandu, as plataformas verificavam que aplicação solicitava os dados, mas não verificavam adequadamente a identidade da pessoa que fazia a consulta nem se tinha autorização para aceder a essa informação.
Esta vulnerabilidade permitiu que uma aplicação com permissões deficientes abrisse caminho para registos de diferentes instituições públicas.
O sistema também não dispunha de controlos suficientes para limitar o volume de informação consultada nem de alertas automáticos capazes de detetar extrações extraordinárias.
Os atacantes realizaram cerca de 11 milhões de pedidos de acesso e consultaram aproximadamente um milhão de números de identificação pessoal, segundo os dados preliminares da Agência de Governação Eletrónica (AGE).
O dia 20 de outubro foi a jornada de maior atividade. As solicitações aos serviços digitais atingiram níveis trinta vezes superiores aos habituais e foram extraídos dados de mais de 260.000 pessoas.
Dados médicos, contas bancárias e prestações sociais
A informação comprometida provém de distintos registros administrativos e contém dados especialmente sensíveis.
Além de nomes, datas e locais de nascimento, os atacantes puderam consultar informações sobre a situação de saúde dos cidadãos, seus médicos de família, situações de deficiência e prestações sociais.
Também ficaram expostos dados de familiares, fotografias, carteiras de habilitação, veículos, informações empresariais, números de conta bancária, dívidas fiscais e históricos de pagamentos.
A presidente assegurou que não foi detectado um uso dos dados bancários para acessar diretamente as contas dos cidadãos. No entanto, pediu para intensificar as precauções diante de possíveis tentativas de fraude.
As autoridades recomendam não fornecer informações pessoais por telefone, desconfiar de mensagens que solicitem dados bancários e contatar diretamente as entidades financeiras ou a polícia por meio de seus canais oficiais.
O Governo reconhece atrasos e falhas de coordenação
A resposta ao ataque obrigou a desconectar preventivamente 82 serviços públicos digitais e mais de 30 sistemas informáticos e painéis de administração.
No dia 21 de outubro, as autoridades conseguiram interromper o acesso a informações sobre familiares dos cidadãos. Dois dias depois, começaram a bloquear as conexões utilizadas pelos atacantes e, em 24 de outubro, cessou a atividade detectada.
Posteriormente, ocorreram novas tentativas de intrusão, nos dias 25 e 27 de outubro, que as autoridades afirmam ter neutralizado sem novas extrações de informação.
Sandu admitiu que a reação institucional foi insuficiente, especialmente na comunicação com a população.
A presidente reconheceu que a ausência de um protocolo claro de comunicação provocou atrasos e dificuldades para distribuir as responsabilidades entre as instituições.
O Executivo criou um grupo de trabalho liderado pelo primeiro-ministro, Vasile Tofan, para coordenar as ações e revisar as vulnerabilidades detectadas.
Os serviços públicos afetados se recuperaram progressivamente, após submeter seus sistemas a verificações de segurança.
O Ministério Público investiga o roubo de informações
O Ministério Público de Chisináu abriu uma investigação criminal por possíveis delitos relacionados com a violação da intimidade e a divulgação de informação protegida.
A porta-voz do Ministério Público-Geral, Violina Moraru, confirmou a abertura de diligências, embora não tenha fornecido informações sobre os possíveis responsáveis.
As autoridades moldavas não atribuíram oficialmente o ataque a nenhum país e não identificaram publicamente seus autores.
Sandu descartou, por enquanto, a existência de indícios de um sabotagem interno. A investigação deverá determinar como ocorreu o acesso aos sistemas e quem está por trás da extração de dados.
O Governo anuncia novas medidas de segurança
Após a reunião do Conselho Nacional de Segurança, as autoridades acordaram reforçar os controles de acesso aos registros públicos, limitar a quantidade de informação que pode ser consultada e melhorar os mecanismos de detecção de atividades suspeitas.
A Agência de Governaça Eletrónica notificará individualmente os afetados. Além disso, os bancos receberão informação sobre os cidadãos cujos dados foram consultados para que possam realizar verificações adicionais diante de possíveis operações fraudulentas.
A investigação também terá consequências para a gestão dos serviços digitais. A diretora da Agência de Governaça Eletrónica, Nicoleta Colomeeț, anunciou sua demissão e as autoridades preparam duas auditorias para esclarecer as falhas de segurança. Os primeiros resultados estão previstos para o fim de novembro e os seguintes, para o início de dezembro.
A possível implicação de um ator estrangeiro
A presidente moldava assinalou que as características do ataque são compatíveis com a atuação de um ator estatal, embora tenha insistido em que ainda não se identificou os responsáveis.
A Moldávia, país fronteiriço com a Ucrânia e a Roménia e candidato a ingressar na União Europeia, denunciou anteriormente operações de ingerência e desinformação atribuídas à Rússia. No entanto, as autoridades não apresentaram provas que permitam vincular este ciberataque específico a Moscovo.
O incidente colocou em questão a segurança de uma Administração que impulsionou nos últimos anos a digitalização de inúmeros trâmites públicos. A prioridade do Governo é agora proteger a informação dos cidadãos e evitar que os dados obtidos durante o ataque sejam utilizados em novas operações fraudulentas.