Ataques virtuais miram ONGs e organizações humanitárias

Contas bancárias volumosas ​​e vulnerabilidades na segurança online fazem das ONGs um alvo para ataques cibernéticos que geram consequências humanitárias.

Todos os dias, o programa de restabelecimento de laços familiares da Cruz Vermelha (CICV) promove o reencontro de cerca de 12 pessoas desaparecidas com suas famílias. A maioria dos casos é de familiares que foram separados por guerras ou desastres naturais.

Rastrear os desaparecidos tem sido uma parte extremamente importante do trabalho da Cruz Vermelha por mais de um século. Minha própria bisavó descobriu o destino de seu marido, desaparecido em batalha durante a Primeira Guerra Mundial, graças à organização.

Mas em 19 de janeiro deste ano, o site de restauração de vínculos familiares foi abruptamente retirado do ar depois de sofrer um “ataque de segurança cibernética sofisticado”, segundo um comunicado do CICV. O roubo de dados, segundo a organização humanitária, “comprometeu dados pessoais e informações confidenciais de mais de 515.000 pessoas altamente vulneráveis, incluindo pessoas separadas de suas famílias devido a conflitos, migração e desastres, pessoas desaparecidas e suas famílias e pessoas detidas”.

Sem surpresa

Muitos de nós, quando ouvimos falar de ataques cibernéticos, pensamos quase automaticamente em alvos militares ou grandes instituições financeiras. Possivelmente, poucos de nós veriam as organizações humanitárias como alvos principais. Mas, para Stephane Duguin, diretora do Instituto CyberPeace de Genebra, o ataque ao CICV não foi surpresa. Para a diretora, que trabalha dando apoio a organizações humanitárias no ramo de segurança cibernética, o ataque não foi um choque.

Segundo Duguin, o setor humanitário arrecada bilhões de dólares por ano e qualquer organização com dinheiro corre o risco de ser alvo de cibercriminosos. Além desse risco, Stephane alerta que “apenas uma em cada dez ONGs treina sua equipe regularmente em segurança cibernética, três em cada quatro não monitoram a rede e quatro em cada cinco não têm um plano de segurança cibernética”.

Então, uma combinação de contas bancárias saudáveis ​​e uma certa ingenuidade tornam as organizações humanitárias alvos fáceis e de baixo risco? Talvez, mas isso ainda não explica o que aconteceu no CICV.

Para o chefe de proteção de dados do CICV, Massimo Marelli, a proteção de dados da organização é muito boa – sem ela, o ataque nem teria sido detectado, em primeiro lugar.

Até a publicação deste artigo, o CICV não havia recebido nenhum pedido de resgate em troca dos dados roubados, nem havia qualquer sinal de que os dados estivessem sendo vendidos na dark web. A identidade do cibercriminoso permanece um mistério, mas o que Marelli sabe com certeza é que este foi um ataque “muito sofisticado”.

Peso na consciência?

Na ausência de qualquer informação, a única coisa que o CICV pode fazer é atualizar seu sistema para fechar, esperançosamente, as brechas cibernéticas que permitiram o ataque e esperar que os hackers sintam peso na consciência em usar os dados que roubaram.

“As informações roubadas não são só dados ou números”, diz Marelli. “Não se trata de um roubo contra uma organização… na verdade é um roubo que atinge pessoas.  É um ataque a pessoas que já vivem na angústia de terem sido separadas de seus familiares e entes queridos.  É um ataque à sua dignidade, é um ataque à sua privacidade.”

Duguin concorda. “Atacar o setor humanitário não é algo virtual”, explicou.  “Não são máquinas que atacam máquinas: estão atacando a água, o saneamento, estão atacando a segurança alimentar, estão atacando a saúde.”

Duguin não está especialmente otimista quanto à ideia de apelar para a consciência dos cibercriminosos. “No auge da pandemia havia um ataque todos os dias aos sistemas de saúde, apesar das promessas de que a saúde permaneceria fora dos alvos durante a emergência global” relatou.

Restaurar a confiança e abrir o jogo

Então, o que as organizações humanitárias podem fazer para se proteger? Duguin pede que todas as ONGs se preparem “porque um ataque não é um talvez, é uma certeza”.

Nessa luta, um elemento-chave segundo Duguin e Marelli é assumir uma postura completamente honesta assim que um ataque cibernético ocorrer.  Ao contrário das Nações Unidas, que ficaram quietas por um longo tempo depois que seus escritórios em Genebra e Viena sofreram um ataque cibernético em 2019, o CICV emitiu um comunicado assim que soube o que havia acontecido e seguiu fazendo atualizações. Todas as 515 mil pessoas cujos dados foram comprometidos estão sendo informadas sobre o ataque e recebendo orientações sobre o que o CICV está fazendo a respeito.

Essa abertura é essencial, acredita Marelli, para manter a confiança de pessoas vulneráveis ​​que precisam compartilhar informações muitas vezes confidenciais com o CICV para tentar encontrar entes queridos desaparecidos.

Para Daniel Warner, abrir o jogo ajuda a aumentar o apoio às organizações que sofreram os ataques. Desde o vazamento de dados de familiares, que gerou indignação generalizada, o CICV recebeu várias ofertas de apoio de governos e da indústria de tecnologia.

“O CICV não é uma organização humanitária qualquer”, ressalta. ” A organização é guardiã das Convenções de Genebra, então um ataque a ela é algo especial.”

Adaptação: Clarissa Levy
(Edição: Fernando Hirschy)

Adaptação: Clarissa Levy