Edition 20

Três anos e meio após a publicação da correção, 1 590 destes equipamentos continuavam acessíveis a partir da internet, só em França. Não foi explorado nenhum zero-day. Alguém aceitou um risco, através de uma assinatura, de um orçamento adiado ou de um silêncio, e foi essa decisão que documentei esta semana. Um risco cibernético é um risco de negócio, e é aceite mais ou menos da forma como se escolhe a planta da receção: uma linha numa folha de cálculo, sem valor, sem data de expiração, muitas vezes sem nome. Nenhum supermercado escolhe o seu próprio nível de segurança contra incêndios. Aplica-o, financia-o e sujeita-o à inspeção de uma comissão que pode mandar fechar as portas. Leia o seu próprio registo com isso em mente e veja quais os riscos aceites que sobreviveriam a ser lidos em voz alta.

Cada etapa confiou na anterior. O manifesto tinha uma assinatura válida, pelo que o serviço de emparelhamento o aceitou, e ninguém questionou se a assinatura de uma aplicação de demonstração deveria equivaler a uma chave privilegiada. A aplicação era legítima, por isso ninguém verificou para onde navegava. O daemon confiou no seu input. Uma assinatura válida não é uma autorização, e já escrevi alguma versão desta frase três vezes neste trimestre, a propósito de um token MFA e de um processo de assinatura de pagamentos. Entretanto, a televisão da sua sala de reuniões executa aplicações, expõe serviços que aceitam comandos de outros dispositivos e não consta do registo de ativos de ninguém.

Todos os modelos de segurança móvel que possui partem do princípio de que o sistema operativo é a âncora de confiança e que a ameaça chega sob a forma de uma aplicação. Aqui foi entregue sob a assinatura da plataforma, pelo que as próprias defesas do Android a classificam como de confiança, e não existe remediação. Não se limpa, deita-se o telemóvel fora. Para uma organização, esta não é a conversa sobre BYOD que tem vindo a ter. É o dispositivo de sessenta euros que um prestador de serviços comprou numa marketplace, a retransmitir tráfego pela sua rede e a ler notificações no ecrã. A Bitdefender é direta ao afirmar que a correção duradoura cabe aos fabricantes e às marketplaces, o que é outra forma de dizer que não vai acontecer.

O fabricante não foi alvo de uma intrusão. Os seus sistemas nunca foram tocados. Alguém inseriu-se entre a fábrica e o comprador, e a verificação de autenticidade fornecida pelo fabricante era cega a isso por design. Grand desmonta hardware há décadas e afirma nunca ter visto um destes na natureza. Agora encontrou quatro em oito. Retire a componente cripto e a questão torna-se rapidamente incómoda: que proporção do seu hardware chega através de um revendedor que nunca avaliou, e o que inspecionaria efetivamente na receção? A embalagem com evidência de adulteração não é uma resposta quando o implante está por baixo da bateria.

Os quatro itens anteriores são dispositivos que ninguém inspecionou. Este é aquele em que alguém o fez, e não foi sorte. A OpenAI mantém uma equipa que varre fisicamente as salas, algo que quase nenhuma organização faz, e quando encontraram o dispositivo fizeram a coisa mais difícil: deixaram-no onde estava e observaram-no. Isso é um chamariz, numa sala de reuniões, e é precisamente o que a CISA recomendava há um mês. Repare também na contenção no resto da situação. Acesso restringido, o funcionário colocado em licença, o despedimento cronometrado com o FBI para não perturbar a investigação. Se algum dia lhe cair um caso de insider na secretária, essa sequência é a que deve copiar.