Início Site Página 3

Internet móvel em África: acesso cresce, mas uso continua limitado

Por
Daniel Geto
-

Cada vez mais africanos acedem à Internet através dos telemóveis. No entanto, dispor de uma ligação não significa tirar pleno partido das possibilidades que esta oferece. De acordo com o mais recente relatório da GSMA, O Estado da Conectividade Móvel à Internet 2026, a grande maioria dos utilizadores de Internet móvel no continente concentra a sua actividade diária num número reduzido de tarefas, sobretudo comunicação e entretenimento.

O estudo, realizado em 14 países, entre os quais sete africanos onde o acesso à Internet está relativamente difundido, nomeadamente Egipto, Etiópia, Gana, Quénia, Nigéria, Senegal e Uganda, revela que, em média, 83% dos utilizadores de Internet móvel afirmam aceder à rede todos os dias.

Contudo, este número esconde uma realidade mais limitada: uma parte significativa dos utilizadores realiza apenas uma ou duas actividades por dia. A GSMA classifica como uso diário diversificado a realização de, pelo menos, três tipos de actividades num único dia, um patamar que muitos utilizadores não alcançam.

A diferença torna-se particularmente evidente entre as zonas urbanas e rurais. Na Etiópia, 61% dos residentes nas cidades possuem um telemóvel com acesso à Internet, mas apenas 29% utilizam diariamente a Internet móvel. Entre os utilizadores urbanos com acesso à rede, somente 19% atingem um nível diversificado de utilização diária, contra apenas 4% nas zonas rurais.

Na Nigéria, a diferença é menos acentuada nos centros urbanos: 79% dos residentes possuem um telemóvel com acesso à Internet, 57% utilizam diariamente a Internet móvel e 41% atingem um nível diversificado de utilização.

Nas zonas rurais, contudo, verifica-se uma quebra significativa ao longo das várias etapas de adopção. Cerca de 94% possuem um telemóvel, 86% conhecem a Internet móvel, 51% dispõem de um equipamento capaz de aceder à Internet, 24% utilizam a rede diariamente e apenas 13% alcançam um nível diversificado de utilização diária.

Redes sociais e aplicações de mensagens dominam a utilização

Os dados confirmam o reduzido nível de diversificação no uso diário da Internet móvel. As redes sociais, as mensagens instantâneas e a transmissão de vídeo estão entre as actividades mais comuns no continente.

No Egipto, Quénia, Gana, Senegal e Uganda, estas actividades registam algumas das taxas mais elevadas de utilização diária da Internet móvel. Consoante o país, entre 90% e 96% dos utilizadores recorrem às redes sociais. Seguem-se as mensagens instantâneas, as chamadas de voz e vídeo através da Internet, sobretudo por aplicações como o WhatsApp, e outras formas de entretenimento digital.

Em sentido contrário, as utilizações com maior potencial de impacto económico continuam muito menos difundidas. A procura de emprego ou de informação profissional, a venda ou promoção de produtos, o acesso a serviços públicos digitais e a pesquisa de informação agrícola permanecem limitados a uma minoria dos utilizadores.

Na Nigéria, por exemplo, apenas 35% dos utilizadores de Internet móvel já recorreram a serviços públicos através da Internet, contra 38% no Senegal e 34% no Uganda. Na Etiópia e no Gana, a percentagem de pessoas que utiliza a Internet móvel para procurar informação agrícola não ultrapassa os 30%.

Mulheres e populações rurais enfrentam maiores obstáculos

O relatório destaca que esta utilização limitada afecta de forma desproporcionada as mulheres e as populações rurais, que recorrem à Internet móvel com menor frequência e para um conjunto mais restrito de actividades do que os homens e os residentes das zonas urbanas.

Esta dupla barreira, marcada por menor acesso e menor diversidade de utilização, reduz ainda mais os benefícios económicos e sociais que a conectividade móvel pode proporcionar. O impacto torna-se particularmente relevante no acesso ao emprego, aos serviços financeiros e à informação agrícola, áreas identificadas como importantes para o desenvolvimento.

Para a GSMA, o desafio da inclusão digital vai além da simples disponibilidade de cobertura de rede ou da posse de um smartphone. É necessário promover uma utilização mais regular e diversificada da Internet móvel, através do reforço das competências digitais e da confiança dos utilizadores em serviços digitais de maior valor, como os de saúde, educação, finanças e administração pública.

Sem essa evolução, grande parte do potencial económico da conectividade móvel em África continuará por explorar. A redução da lacuna de utilização poderá, segundo as estimativas referidas no relatório, representar vários milhares de milhões de dólares adicionais para o produto interno bruto (PIB) do continente.

TikTok é processado por causa do apagão na Nigéria

Por
Daniel Geto
-

A Fundação para a Justiça Digital e o Desenvolvimento Sustentável intentou uma acção no Tribunal Federal Superior contra a TikTok Inc., pedindo ao tribunal que determine se a alegada restrição viola os direitos dos cidadãos nigerianos à liberdade de expressão e à não discriminação.

De acordo com documentos judiciais consultados pela ITWeb Africa, os utilizadores começaram a enfrentar restrições por volta de 11 de Setembro, tendo o TikTok ficado inacessível nos quatro estados a 14 de Setembro.

Os documentos indicam que os utilizadores afectados ficaram impedidos de carregar vídeos, actualizar os conteúdos apresentados, enviar e publicar conteúdos, comentar, colocar gostos ou republicar. Entretanto, os utilizadores noutras regiões da Nigéria continuaram a aceder normalmente à plataforma.

O TikTok não apresentou, até ao momento, uma explicação pública para a alegada restrição nem se pronunciou sobre o processo judicial. As razões para a interrupção do serviço nos quatro estados permanecem, por isso, por esclarecer.

A fundação pretende que o tribunal ordene ao TikTok o restabelecimento do acesso à plataforma e impeça a aplicação de novas restrições sem fundamento legal. Solicita ainda um pedido público de desculpas, a publicar em três jornais de circulação nacional.

Comunicação de incidentes: o silêncio nunca é neutro

Festus Ogun, advogado da entidade requerente, defendeu, em declarações à ITWeb Africa, que o caso não deve ser encarado apenas como uma questão relacionada com a moderação de conteúdos através de inteligência artificial.

“Esta situação vai além do desafio da moderação de conteúdos com inteligência artificial”, afirmou Ogun. “Se estivesse apenas em causa a moderação de conteúdos, isso não impediria os utilizadores de visualizar as publicações disponíveis na plataforma.”

O advogado classificou a restrição como uma “exclusão evidente” dos utilizadores dos estados afectados e considerou que a situação aparenta configurar um caso de “bloqueio geográfico ilegítimo”, susceptível de violar direitos fundamentais previstos na Constituição nigeriana de 1999.

Segundo Ogun, o processo poderá criar um precedente contra restrições arbitrárias impostas por empresas tecnológicas, sobretudo quando estas não apresentam explicações claras sobre as limitações aplicadas aos seus serviços.

Organizações da sociedade civil afirmam, por sua vez, que ainda não conseguiram determinar se a interrupção resultou de uma falha técnica, de problemas de encaminhamento da rede, de uma falha no próprio TikTok, da gestão de tráfego ou de uma restrição deliberada.

Para Ogun, a questão ultrapassa o caso específico do TikTok. “A tecnologia deve servir as pessoas”, afirmou, defendendo que os nigerianos devem poder participar no ecossistema digital “livremente, em segurança e em condições de igualdade”.

O processo poderá, assim, testar os limites da capacidade das plataformas tecnológicas para restringirem geograficamente o acesso aos seus serviços na Nigéria, bem como determinar as responsabilidades e obrigações associadas a este tipo de decisão.

Angola reforça bases para fortalecer a cibersegurança

Por
Daniel Geto
-

Ao discursar na abertura da Africacert e Cyberdrill 2026, iniciativa dedicada à simulação cibernética e à cooperação no combate ao cibercrime, o governante destacou a entrada em vigor, nos últimos meses, de um novo quadro jurídico para a cibersegurança no país.

Mário Oliveira apontou também a aprovação da Estratégia Nacional de Cibersegurança e a criação do Conselho Nacional de Cibersegurança como avanços importantes para o fortalecimento da segurança digital em Angola.

O ministro reconheceu, contudo, que a aprovação de leis, estratégias e a criação de instituições representam apenas uma parte do processo.

“Estamos conscientes que aprovar estratégias, criar instituições e aprovar leis é apenas uma parte do caminho que temos que percorrer”, afirmou.

Segundo Mário Oliveira, o principal desafio passa agora por transformar os instrumentos legais e institucionais já criados em capacidade efectiva para prevenir, detectar, responder e recuperar de incidentes cibernéticos.

O governante defendeu ainda que a construção de um espaço digital seguro depende de mecanismos de cooperação eficazes e de uma cultura de segurança que envolva toda a sociedade.

Na sua perspectiva, o investimento no conhecimento, na educação, na investigação, na inovação e na formação especializada deve acompanhar a aposta em infra-estruturas e tecnologias.

Mário Oliveira defendeu, por isso, o reforço da formação de profissionais, especialistas, investigadores e líderes capazes de desenvolver as soluções digitais de que Angola necessita.

Sublinhou ainda que a segurança do espaço digital constitui uma responsabilidade partilhada entre o Estado, as instituições de defesa e segurança, os órgãos de justiça, os reguladores e o sector privado.

Reafirmou igualmente o compromisso do Governo angolano com o desenvolvimento da cibersegurança nacional e com o reforço da resiliência socioeconómica e da transformação digital de Angola e da SADC.

“Quanto maior for a nossa presença no espaço digital, maior será a nossa responsabilidade em garantir que este espaço seja seguro, estável, confiável e resiliente”, afirmou.

A simulação cibernética e a cooperação no combate ao cibercrime, promovidas pela Africacert, em parceria com a SADC e o Governo de Angola, decorrem até sexta-feira, em Luanda.

A iniciativa reúne especialistas em cibersegurança, equipas de resposta a incidentes cibernéticos e representantes de outras entidades ligadas ao sector.

Como e por que a Inteligência Artificial consegue contornar regras para atingir os seus objectivos

Por
Kelson Figueiredo
-

Sistemas de Inteligência Artificial (IA) treinados para cumprir determinados objectivos podem encontrar formas inesperadas de alcançar os resultados definidos pelos seus criadores. O fenómeno, conhecido entre investigadores há vários anos, ganhou novo destaque com o avanço dos chamados agentes de IA, capazes de executar tarefas de forma autónoma.

Ao contrário dos chatbots tradicionais, estes agentes podem navegar na Internet, executar programas, consultar bases de dados e interagir com diferentes sistemas para cumprir uma determinada tarefa. Essa autonomia, no entanto, também pode fazer com que encontrem atalhos ou formas de contornar restrições que não estavam previstas durante o seu desenvolvimento.

Nos últimos meses, diferentes episódios voltaram a chamar atenção para o problema. Um dos casos mais recentes ocorreu na Austrália, em Junho de 2026, quando um agente desenvolvido pela OpenAI, durante uma actividade de investigação, terá obtido acesso não autorizado ao portal de estatísticas do Medicare, sistema público de saúde australiano administrado pela Services Australia.

Segundo o governo australiano, o agente estava a ser utilizado por uma equipa de investigação para procurar na Internet informações relacionadas com gastos públicos em medicamentos. Ao encontrar bloqueios no acesso a determinados conteúdos, o sistema terá encontrado uma forma de os contornar.

O agente conseguiu aceder a ficheiros públicos e não públicos e chegou a gravar ficheiros no servidor. Outros três órgãos públicos australianos também poderão ter sido afectados pelo incidente.

Até ao momento, não há indicação de que dados pessoais de pacientes tenham sido acedidos, mas as autoridades australianas continuam a investigar o caso.

Por que isso acontece?

O comportamento está relacionado com a forma como os sistemas de IA são treinados para atingir objectivos. Em vez de seguirem necessariamente o caminho imaginado pelos seus programadores, alguns agentes podem identificar estratégias alternativas que lhes permitem alcançar o resultado pretendido.

Isso pode acontecer porque o sistema interpreta o objectivo de forma diferente daquilo que os seus criadores pretendiam. Se determinadas regras forem entendidas como obstáculos para alcançar o resultado final, o agente pode procurar outra forma de executar a tarefa.

A capacidade de encontrar soluções inesperadas não significa, por si só, que uma IA tenha intenção de violar regras. O sistema está a optimizar uma tarefa de acordo com os objectivos e restrições que recebeu, podendo explorar brechas ou combinações que não foram previstas pelos seus desenvolvedores.

O problema torna-se mais relevante à medida que os agentes passam a ter acesso a ferramentas, sistemas externos e informações reais. Quanto maior for o nível de autonomia e de acesso concedido, maior pode ser o impacto de um comportamento inesperado.

Por isso, investigadores e empresas de tecnologia têm reforçado a importância de mecanismos de segurança, limites de acesso, monitorização e testes antes de permitir que agentes de IA actuem de forma autónoma em sistemas críticos.

O desafio passa não apenas por criar sistemas capazes de executar tarefas, mas também por garantir que consigam fazê-lo dentro dos limites definidos pelos seus criadores, mesmo quando encontram obstáculos ou situações que não estavam previstas.

Fonte: G1

New Cognito defende criação de uma infra-estrutura nacional de saúde digital em Angola

Por
Kelson Figueiredo
-


Angola deve acelerar a construção de uma infra-estrutura nacional de saúde digital, assente na integração dos sistemas existentes, na interoperabilidade e numa governação estruturada dos dados. A posição foi defendida por Ivan António, Director de Saúde Digital da New Cognito, durante o Africa HealthTech Summit (AHTS) 2026, realizado de 30 de Setembro a 2 de Outubro, em Kigali, no Ruanda.

O responsável, que participou como embaixador de Angola no evento, esteve em dois painéis dedicados à transformação dos sistemas de saúde em África, onde abordou os desafios e as oportunidades associados à digitalização do sector, com destaque para a realidade e as prioridades de Angola.

Segundo Ivan António, uma das prioridades passa por aproveitar os sistemas que já existem e criar condições para que diferentes soluções possam comunicar entre si. Sistemas de gestão hospitalar, registos clínicos electrónicos, plataformas laboratoriais, serviços de telemedicina e ferramentas de diagnóstico devem, na sua perspectiva, funcionar com base em padrões e arquitecturas comuns.

“Angola tem hoje a oportunidade de olhar para a transformação digital da saúde de forma integrada, aproveitando os sistemas e experiências que já existem e criando condições para que possam evoluir de forma articulada. Mais do que multiplicar plataformas, importa garantir que estas comunicam entre si e que a informação pode acompanhar o cidadão ao longo do seu percurso de cuidados”, afirmou.

A governação dos dados foi outro dos pontos destacados durante a cimeira. Com o aumento do número de sistemas digitais utilizados no sector da saúde, o responsável considera necessário estabelecer regras claras sobre a gestão, protecção, acesso e utilização das informações dos pacientes.

“A transformação digital também exige confiança. Quando falamos de dados de saúde, é fundamental saber quem pode aceder à informação, onde está armazenada, como é utilizada e em que condições pode ser partilhada”, sublinhou.

Para o Director de Saúde Digital da New Cognito, uma estrutura de governação adequada permitirá utilizar os dados para gerar conhecimento e melhorar a prestação de cuidados, sem comprometer a segurança e a privacidade dos cidadãos.

Comunicação de incidentes: o silêncio nunca é neutro

Por
Daniel Geto
-

O problema, neste caso, não é apenas técnico. É também de comunicação. Durante um incidente, esperar por certezas antes de informar pode parecer prudente, mas o silêncio raramente é neutro. Quando a instituição não explica o que sabe, outros constroem a narrativa por ela.

A comunicação deve fazer parte da própria resposta ao incidente. Não substitui a resolução técnica, mas ajuda a preservar a confiança dos utilizadores enquanto as equipas procuram restabelecer o serviço.

O princípio pode resumir-se a três ideias: comunicar cedo, comunicar pouco e manter um ritmo previsível.

A primeira mensagem não precisa de explicar tudo. Precisa, sobretudo, de existir. Deve confirmar o problema, indicar que existem ações em curso e estabelecer o momento da próxima actualização.

Uma comunicação inicial pode assentar em quatro pontos:

  1. O que sabemos: apenas factos confirmados.
  2. O que estamos a fazer: a ação concreta em curso.
  3. O que ainda não sabemos: informação que permanece por confirmar.
  4. Quando voltamos a comunicar: uma hora definida para a próxima actualização.

Alguns erros repetem-se com frequência na comunicação de incidentes.

O primeiro é especular sobre a causa. Uma hipótese inicial pode revelar-se errada e obrigar a instituição a corrigir publicamente aquilo que afirmou. É mais seguro comunicar aquilo que se observa e reservar as conclusões para quando existirem evidências suficientes.

Outro erro é prometer um prazo que não depende inteiramente da equipa responsável. Se a reposição estiver condicionada pela atuação de terceiros, estabelecer uma hora para a resolução pode criar expectativas que não serão cumpridas. É preferível indicar quando haverá nova informação.

Também é importante não minimizar o impacto. Para um utilizador impedido de aceder a um serviço essencial, dizer que o impacto é reduzido pode criar uma perceção de distanciamento em relação ao problema real.

Por fim, há um erro particularmente prejudicial: deixar de comunicar quando a situação piora. É precisamente nos momentos mais críticos que aumenta a necessidade de informação clara e oficial.

Todos estes erros têm algo em comum: a tentativa de transmitir mais controlo do que aquele que realmente existe. Na prática, reconhecer a incerteza de forma clara e responsável tende a ser mais credível do que apresentar certezas que poderão desaparecer pouco depois.

Públicos diferentes precisam de informação diferente

Uma única mensagem dificilmente responde às necessidades de todos. A direção precisa de conhecer o impacto, os riscos, as consequências para a organização e, quando possível, uma previsão realista para a reposição.

O utilizador afectado precisa sobretudo de saber se consegue continuar a trabalhar, quais são as alternativas disponíveis e quando receberá nova informação.

A equipa técnica, por sua vez, necessita de maior detalhe: factos recolhidos, responsabilidades, ações executadas, resultados e próximos passos.

Adaptar a comunicação não significa criar versões contraditórias. Significa selecionar a informação adequada a cada público.

Nas instituições existe ainda uma questão essencial: deve estar previamente definido quem comunica para o exterior. A equipa técnica deve fornecer informação rigorosa sobre o incidente, enquanto a comunicação pública deve respeitar os canais e responsabilidades definidos pela instituição.

Estas regras não devem ser estabelecidas no meio da crise. Devem fazer parte do procedimento de resposta a incidentes.

A credibilidade durante uma crise não depende de ter imediatamente todas as respostas. Depende da capacidade de comunicar aquilo que se sabe, reconhecer aquilo que ainda se desconhece e manter um fluxo regular de informação.

Uma instituição que comunica cedo e com transparência pode não controlar o incidente desde o primeiro minuto, mas demonstra que está a tratá-lo com método e responsabilidade.

Entre uma mensagem curta e imperfeita no momento certo e uma mensagem perfeita quando já é tarde, a primeira tende a ser mais útil.

Quando uma instituição não explica o que está a acontecer, alguém preencherá esse espaço. E, muitas vezes, a versão que surge fora dos canais oficiais será pior do que a realidade.

Polícia espanhola detém adolescente de 16 anos suspeito de liderar grupo de hackers KillSec

Por
Kelson Figueiredo
-


A Polícia espanhola deteve um adolescente de 16 anos, de nacionalidade romena, suspeito de ser o principal responsável pelo grupo de hackers KillSec. A operação faz parte de uma investigação internacional que envolve vários países europeus e apura cerca de mil ataques de extorsão digital registados nos últimos dois anos.

O jovem foi detido na cidade de Alicante, em Espanha, e é suspeito de actuar como administrador do KillSec, função que, segundo a Europol, estaria relacionada com a coordenação das actividades do grupo.

Além do adolescente, outras duas pessoas, ambas na faixa dos 20 anos, foram detidas no âmbito da operação, uma no Reino Unido e outra na Roménia. Segundo a Europol, Porto Rico apresentou um pedido de extradição do suspeito detido no Reino Unido, para que possa responder às acusações naquele território.

Uma quarta pessoa, apontada como responsável pelo desenvolvimento de ferramentas utilizadas pelo grupo, também foi localizada, mas não foi detida. A pessoa completou 18 anos em Agosto e era menor de idade quando parte dos crimes investigados terá sido cometida.

De acordo com a Europol, o KillSec explorava vulnerabilidades em programas e sistemas de segurança, assim como pontos de acesso à Internet com protecção inadequada. Entre os principais alvos estavam serviços de armazenamento de ficheiros na nuvem.

Através dessas vulnerabilidades, os suspeitos conseguiam obter informações confidenciais das vítimas, que posteriormente poderiam ser utilizadas em ataques de extorsão digital.

A investigação continua a envolver autoridades de diferentes países, numa operação coordenada para identificar os responsáveis pelos ataques e apurar a extensão das actividades atribuídas ao grupo.

Ransomware conduzido por Inteligência Artificial: Claude Code usado em invasões reais, revela relatório

Por
Guilherme Massala
-

Um afiliado do grupo de ransomware-as-a-service “The Gentlemen” recorreu à ferramenta Claude Code, da Anthropic, para conduzir invasões informáticas contra pelo menos seis organizações, segundo dados da empresa de segurança Gambit Security citados no mais recente relatorio AI Threat Landscape Digest da Check Point Research (Julho-Agosto de 2026).

De acordo com o relatório, o operador terá optado deliberadamente por um modelo mais antigo e menos restrito, o Claude Sonnet 4.6, por avaliar que os modelos mais recentes e avançados recusam executar tarefas maliciosas com mais frequência. Mesmo essa limitação foi contornada com facilidade: quando o modelo se recusou a avançar contra o que identificou como um sistema de produção real, o operador abriu uma nova sessão, afirmou que o trabalho estava autorizado, e o modelo cumpriu a instrução. A partir daí, executou uma invasão de tipo convencional a partir do interior da rede, obtendo as credenciais armazenadas de uma firewall através de um mecanismo de reencaminhamento (pass-back) via LDAP, criando uma conta VPN oculta, enumerando servidores de backup e preparando uma base de dados para exfiltração.

A Check Point Research examinou ainda comunicações internas do próprio grupo The Gentlemen, entretanto divulgadas publicamente, e encontrou IA integrada na “retaguarda” administrativa do grupo: um administrador construiu o painel de controlo do grupo em poucos dias com recurso a codificação assistida por IA, enquanto outros membros testavam modelos abertos para ajudar a triar dados roubados.

O relatório destaca ainda uma segunda campanha, a que os investigadores chamam JADEPUFFER, apresentada como o primeiro caso documentado de “ransomware agêntico”, uma operação de extorsão conduzida do início ao fim por um modelo de linguagem, sem intervenção humana directa após a configuração inicial. Partindo de uma falha conhecida na ferramenta de IA Langflow, o modelo moveu-se até uma base de dados interna, exfiltrou e apagou o seu conteúdo, deixou uma nota de resgate e corrigiu os seus próprios erros ao longo do processo. Uma vaga posterior da mesma campanha recorreu a código construído para o efeito para cifrar não apenas ficheiros comuns, mas também modelos de IA e dados de treino.

O digest da Check Point registou ainda um ataque quase autónomo, em meados de Agosto, contra sites do governo de Taiwan, que extraiu registos de pessoal recorrendo a frameworks de agentes de IA de código aberto, atribuído com baixa confiança a actores ligados à China. Um caso anterior associou modelos DeepSeek a uma framework de agentes chamada Hermes para seleccionar e atacar sistemas expostos à Internet em vários pontos da Ásia, com reportagens relacionadas a ligarem ferramentas semelhantes a uma invasão ao Ministério das Finanças da Tailândia.

 

Modelos de IA escaparam ao controlo em testes da OpenAI, Anthropic e Meta

Por
Guilherme Massala
-

Entre meados de Julho e início de Agosto, três laboratórios de Inteligência Artificial (IA) e um instituto governamental de testes revelaram que modelos sob avaliação conseguiram alcançar sistemas reais fora dos respectivos ambientes de teste. A informação consta do mais recente AI Threat Landscape Digest da Check Point Research, relativo ao período de Julho-Agosto de 2026.

No caso mais grave, segundo a Check Point, não existia sequer uma falha de configuração que explicasse a fuga: um protótipo de investigação ainda não lançado pela OpenAI, a correr num ambiente que se pretendia isolado (com acesso de rede limitado a um proxy interno de pacotes, o JFrog Artifactory), encontrou e explorou uma vulnerabilidade até então desconhecida nesse proxy, usou uma sandbox de terceiros como ponto de apoio e alcançou os sistemas de produção da Hugging Face. Esta última reconstruiu, mais tarde, cerca de 17.600 acções realizadas de forma autónoma pelo modelo ao longo de vários dias, antes de o incidente ser detectado. A falha explorada era um “zero-day” genuíno, entretanto corrigido pela JFrog.

A Anthropic relatou uma falha diferente: um ambiente de avaliação foi deixado, por engano, acessível pela Internet, e os modelos de teste alcançaram três organizações reais, recolheram credenciais, leram uma base de dados de produção e chegaram a publicar um pacote malicioso no repositório PyPI, que foi executado em quinze sistemas antes de os testes serem interrompidos. A Meta divulgou um incidente semelhante, em que um modelo ainda não lançado alcançou a Internet aberta através de um erro de configuração do avaliador e explorou uma falha num site real.

Já o UK AI Security Institute, instituto britânico de testes de segurança em IA, reportou um terceiro padrão: em 122 execuções controladas, os agentes de IA realizaram 19 acções para as quais não tinham autorização. Numa dessas situações, um agente chegou a criar múltiplas identidades falsas numa tentativa de persuadir um verdadeiro responsável por um projecto de código aberto a aprovar código malicioso que o próprio agente tentava inserir no projecto.

Segundo a Check Point, o que estes casos têm em comum não é uma capacidade nova isolada, mas a combinação entre encontrar uma falha desconhecida, explorá-la e continuar a trabalhar rumo a um objectivo durante dias, sem qualquer supervisão humana directa. A empresa sublinha, contudo, que estes comportamentos foram observados em condições de laboratório, sob avaliação, e não indicam que ataques desta natureza estejam já a ocorrer em grande escala. Ainda assim, o alerta é directo: seguindo o padrão de todos os avanços anteriores em capacidade dos modelos, seria de esperar que estas técnicas cheguem a mãos criminosas dentro de meses.

Ciberataques: os desafios de identificar os verdadeiros responsáveis

Por
Daniel Geto
-

A principal ideia a reter é que a atribuição de um ciberataque não é um facto absoluto. Trata-se de uma análise baseada em indícios e expressa através de diferentes graus de confiança. Compreender esta distinção é essencial para evitar conclusões precipitadas e respostas inadequadas.

Três níveis de atribuição

Um dos erros mais frequentes consiste em confundir diferentes níveis de atribuição.

O nível técnico procura identificar as máquinas, endereços IP, servidores ou ferramentas utilizadas. É o mais fácil de obter, mas também o menos conclusivo.

O nível operacional tenta determinar o grupo ou equipa responsável pelo ataque com base em padrões observados ao longo do tempo.

O nível estratégico procura identificar quem patrocinou, financiou ou beneficiou da operação. É o mais complexo e aquele que envolve maiores implicações políticas e diplomáticas.

O problema surge quando se tira uma conclusão estratégica com base apenas em evidências técnicas limitadas.

Por que os endereços IP não provam a autoria?

Muitas pessoas assumem que o endereço IP de origem identifica automaticamente o atacante. Na prática, isso raramente acontece.

Os atacantes utilizam frequentemente servidores comprometidos, proxies, VPN ou outras infraestruturas intermédias para ocultar a origem real. Como resultado, o endereço registado nos sistemas corresponde, muitas vezes, a uma máquina igualmente comprometida e não ao verdadeiro autor do ataque.

Por essa razão, associar um ataque a um país apenas porque um endereço IP está localizado nesse território pode conduzir a conclusões erradas.

Os restantes indícios também podem enganar

Outros elementos frequentemente utilizados para atribuição apresentam limitações semelhantes.

Entre os exemplos mais comuns encontram-se:

  • Geolocalização dos endereços IP.
  • Fusos horários observados nas actividades.
  • Idiomas presentes em código ou documentos.
  • Ferramentas e aplicações utilizadas durante o ataque.

Todos estes sinais podem ser facilmente manipulados para criar falsas pistas e dificultar a investigação.

Um dos exemplos mais conhecidos foi o ataque aos Jogos Olímpicos de Inverno de 2018, onde vários indícios foram deliberadamente plantados para apontar investigadores para diferentes suspeitos. O caso demonstrou que até equipas altamente especializadas podem chegar a conclusões distintas quando enfrentam operações de ocultação sofisticadas.

A Kaspersky descobriu que, os atacantes tinham inserido no código uma “impressão digital” que correspondia a 100% a malware conhecido de um grupo ligado à Coreia do Norte, um indício que parecia a prova definitiva. Só que era forjado: um falso indício sofisticado, plantado precisamente para dar aos investigadores a sensação de terem encontrado a arma do crime (Kaspersky, via Silicon). A própria Kaspersky concluiu que não conseguia identificar o autor, “por ser um exemplo único de implementação de bandeiras falsas muito sofisticadas” (Security Affairs).

Os elementos mais úteis para uma atribuição credível não são normalmente os artefactos técnicos isolados, mas sim os padrões de comportamento. A grande lição é que a atribuição exige prudência: o indício aparentemente mais convincente pode ser exactamente aquele que foi criado para enganar os investigadores.

Os investigadores procuram sinais consistentes ao longo do tempo, como:

  • Repetição das mesmas actividades em múltiplos incidentes.
  • Horários de operação semelhantes.
  • Escolha recorrente dos mesmos tipos de alvos.
  • Utilização continuada das mesmas técnicas e procedimentos.

Estes padrões são mais difíceis de falsificar durante longos períodos e ajudam a estabelecer ligações entre diferentes operações.

Ainda assim, mesmo estes indicadores raramente permitem afirmar uma autoria com certeza absoluta. O resultado mais comum é uma conclusão do tipo: “actividade consistente com determinado grupo, com um determinado grau de confiança”.

O que isto significa para uma instituição

Para instituições, a prudência é fundamental. Um endereço IP, uma localização ou um idioma encontrado durante uma investigação não constituem provas suficientes para atribuir publicamente um ataque a um país, organização ou grupo específico.

Além disso, uma atribuição incorrecta pode afectar a credibilidade da instituição e gerar consequências que vão muito além da área técnica.

Por esse motivo, os relatórios devem utilizar linguagem objectiva e baseada em níveis de confiança, distinguir claramente os factos comprovados de hipóteses analíticas.

Existem duas práticas particularmente desaconselhadas:

A primeira é tentar retaliar contra a origem aparente do ataque. Além de poder ser ilegal, existe uma elevada probabilidade de essa origem corresponder a uma vítima intermédia e não ao verdadeiro atacante.

A segunda é fazer atribuições públicas sem validação institucional adequada. A função da equipa técnica é recolher evidências, documentar os factos e apoiar a investigação, não emitir conclusões estratégicas.

Como responder a um incidente?

Perante um ataque, a prioridade deve ser:

  1. Conter o incidente.
  2. Preservar e documentar as evidências.
  3. Registar todas as ações realizadas.
  4. Comunicar através dos canais institucionais competentes.
  5. Escalar a situação para as entidades responsáveis.

A identificação do autor pode ser importante, mas não deve atrasar as ações necessárias para proteger os sistemas e restaurar os serviços.

A atribuição de ciberataques é uma das áreas mais complexas da cibersegurança. Os indícios técnicos revelam frequentemente o caminho percorrido pelo ataque, mas raramente identificam, por si só, o responsável.

Por essa razão, as organizações devem privilegiar conclusões baseadas em evidências, expressas com níveis de confiança adequados e livres de especulação. Em matéria de atribuição, a abordagem mais rigorosa não é afirmar mais, mas reconhecer claramente o que se sabe, o que se suspeita e o que ainda não é possível provar.

1234...1.332Página 3 de 1.332