Ministérios, polícias e bancos portugueses apanhados por fuga de dados internacional

O Expresso confirmou que, entre as entidades portuguesas que foram afetadas pela exposição de dados e documentos, figuram a Presidência do Conselho de Ministros, a Assembleia da República, Ministério da Defesa, o Estado Maior General das Forças Armadas, a Secretaria Geral do Ministério da Administração, o Ministério da Saúde, Ministério da Defesa, a PSP e a GNR, a operadora Nos, ANA, a Autoridade Nacional de Aviação Civil, a PJ, o BPI, a Caixa Geral de Depósitos, o Millennium BCP e os CTT.

A exposição dos dados pode ser especialmente gravosa por revelar informação pessoal sobre pessoas com cargos considerados cruciais em várias entidades, e eventualmente abrir caminho a potenciais acessos indevidos a serviços que a Microsoft presta em todo o mundo.

Na origem desta fuga de dados encontra-se um potencial erro na gestão da plataforma Azure, que disponibiliza vários recursos tecnológicos de alojamento de software e armazenamento de dados, a empresas. A Azure é uma plataforma gerida pela Microsoft. A fuga de dados, que foi batizada de BlueBleed, envolve 65 mil entidades de 111 países.

“A SOCRadar detetou que estes dados “sensíveis” de 65 mil entidades tornaram-se públicos devido a um servidor mal configurado”, começa por informar a SOCradar em comunicado.

“A fuga de informação da BlueBleed inclui dados críticos como detalhes de projetos, documentos de clientes assinados, e dados de clientes e e-mails. Os dados expostos, se trabalhados com esse propósito, podem disponibilizar aos cibercriminosos a capacidade para elaborar ataques contra empresas afetadas pela BlueBleed”, refere Huzeyfe Onal, diretor executivo da SOCradar em comunicado.

A Microsoft também já reagiu à fuga de informação, confirmando que a fuga de dados se deveu a uma má configuração de um equipamento usado na plataforma Azure.

“A má configuração resultou em acessos potenciais não autenticados para alguns dados correspondentes às transações de negócios e interações entre Microsoft e potenciais clientes, assim como planos relacionados com a implementação potencial e a disponibilização de serviços da Microsoft”, explica a marca de tecnologias.

A Microsoft informa ainda que foi avisada pela SOCRadar a 24 de setembro, mas também acusa a empresa de cibersegurança de exagerar nos números aquando do alerta dados para BlueBleed.

“A nossa investigação mais pormenorizada e a análise dos dados mostram duplicação da informação, com múltiplas referências aos mesmos e-mails, projetos, e utilizadores”, acusa um comunicado da Microsoft sobre a fuga de dados BlueBleed em geral.

Pesquisas temporariamente suspensas

A troca de argumentos poderá não parar nos tempos mais próximos: a SOCRadar já fez saber que esta divulgação de dados deverá ter mais episódios. Na página que a empresa de cibersegurança disponibiliza para as empresas verificarem se foram afetadas pelo ataque, figura ainda um aviso que dá conta que, a pedido da Microsoft, a SOCRadar aceitou suspender temporariamente pesquisas através de um módulo que poderá fornecer dados mais detalhados de potenciais vítimas da BlueBleed.

A Microsoft responde que alertou os clientes que foram afetados pela fuga da informação, mas repudia o facto de a SOCRadar ter lançado uma ferramenta que permite saber, através da inserção de endereços de Internet de diferentes organismos, quais as potenciais vítimas da extração de dados.

A acrimónia entre as duas empresas não foge muito ao padrão das relações que se estabelecem entre marcas que prestam serviços à escala global e marcas que alertam para perigos de escala global. Além de dados críticos para a gestão de serviços operados a partir da Internet, a fuga de dados pode, eventualmente, expor informação pessoal sobre os responsáveis pela contratação desses serviços.
“Não é clara a informação que possa existir sobre estas entidades (afetadas pela BlueBleed). Pode ser apenas uma troca de emails comerciais ou existir informação mais detalhada de projetos”, explica Jorge Pinto, presidente da Associação de Profissionais da Segurança da Informação (AP2SI), sem deixar de lembrar que a BlueBleed não é uma vulnerabilidade tecnológica, mas uma fuga de informação.

O especialista em cibersegurança recomenda mesmo às várias entidades nacionais “que validem no site da SOCRadar se foram afetadas” pela BlueBleed. “Em caso positivo, contactem a Microsoft no sentido de saberem que informação foi divulgada. Apenas na posse desta informação poderão agir e preparar melhor a resposta a esta crise, caso seja necessário”, conclui o presidente da AP2SI.