A infraestrutura de um operador móvel está entre os sistemas mais redundantes alguma vez concebidos. Núcleos duplicados em localizações geográficas distintas, arquiteturas N+1, cópias de segurança regulares, circuitos com comutação automática e múltiplos níveis de alimentação de emergência fazem parte da concepção normal destas redes. Durante décadas, toda esta engenharia procurou responder à mesma questão: o que acontece se um centro de dados ou um elemento crítico deixar de funcionar?
O incidente que afectou a Unitel, em 28 de Julho, e que privou mais de 20 milhões de clientes de serviços de voz, dados e Internet durante mais de um dia, expôs uma limitação fundamental desse modelo. Toda esta redundância foi concebida para enfrentar falhas acidentais. Não foi concebida para travar um adversário que já se encontra dentro da rede. É precisamente esta diferença entre desastre acidental e ataque intencional que separa o disaster recovery tradicional do cyber recovery de que os operadores modernos necessitam.
O caso da Unitel constitui um exemplo particularmente útil porque a informação tornada pública, embora limitada, ilustra este problema com rara clareza. Os aspectos técnicos descritos baseiam-se em informações divulgadas por órgãos de comunicação social angolanos, citando fontes internas, bem como em inferências efectuadas a partir do comportamento visível da rede. A operadora não confirmou oficialmente a natureza do incidente. Ainda assim, o padrão observado corresponde a cenários amplamente conhecidos na indústria e permite retirar conclusões relevantes independentemente dos detalhes específicos.
Ciberataque à operadora japonesa KDDI expõe 12,2 milhões de e-mails
Anatomia de um comprometimento
De acordo com fontes citadas pela revista Economia & Mercado, o ataque terá consistido num ransomware que entrou através de uma aplicação de acesso remoto, encriptou dados e obrigou a uma recuperação profunda do centro de dados. Entre os sistemas afectados encontrava-se a plataforma de billing.
O cenário descrito segue um percurso de ataque relactivamente típico, sendo útil analisar cada fase porque cada uma exige mecanismos de defesa distintos.
Entrada através do acesso remoto
Raramente um ataque desta dimensão começa por atingir directamente o núcleo da rede. Normalmente explora o caminho de menor resistência: uma credencial comprometida, uma VPN vulnerável ou um portal de administração exposto.
O acesso remoto continua a representar uma das superfícies de ataque mais críticas nas organizações modernas. A resposta passa pela implementação sistemática de autenticação multifactor resistente a ataques de phishing, pela aplicação rigorosa do princípio do menor privilégio e pela eliminação de acessos administrativos directos a sistemas críticos sem passagem por bastion hosts devidamente monitorizados.
Movimento lateral
Entre a intrusão inicial e o momento do impacto decorre frequentemente um período de vários dias ou semanas. Durante esse tempo, o atacante explora a rede, obtém privilégios adicionais, identifica sistemas críticos e localiza cópias de segurança.
É nesta fase que os mecanismos de detecção devem actuar. Quando não existe capacidade para identificar comportamentos anómalos, uma intrusão localizada pode transformar-se num incidente de dimensão nacional.
Soluções EDR, monitorização da rede de gestão e mecanismos de alerta para movimentos laterais suspeitos são fundamentais para interromper a progressão do ataque antes da fase de destruição.
Encriptação e activação do ataque
O momento da execução não surge por acaso. É normalmente escolhido pelo atacante em função do impacto pretendido.
No caso da Unitel, o incidente ocorreu na véspera da entrada da empresa em bolsa, um detalhe que sugere que o atacante já se encontrava posicionado e aguardava pela altura considerada mais vantajosa.
Quando a encriptação é activada, a fase preventiva termina. A partir desse momento, a prioridade passa a ser a recuperação.
Por que o MPLS continuou operacional ?
O incidente revelou um comportamento interessante: enquanto os serviços de retalho ficaram indisponíveis, os circuitos MPLS empresariais continuaram a funcionar. Isto sugere que o ataque atingiu principalmente os sistemas de suporte, autenticação e facturação, sem comprometer a infraestrutura de transporte MPLS.
Esta situação demonstra que existia algum nível de segmentação eficaz na rede, capaz de impedir que o ataque se propagasse para todos os domínios da infraestrutura. No entanto, também evidencia que a segmentação interna dos serviços de retalho não foi suficiente para limitar a propagação dentro desse ambiente.
A principal lição é que a segmentação continua a ser um dos mecanismos mais importantes de resiliência. Conceitos como microssegmentação e Zero Trust não impedem necessariamente um comprometimento inicial, mas reduzem significativamente o seu impacto, limitando a capacidade de um atacante se mover lateralmente e transformar um incidente localizado numa falha generalizada.
A pergunta fundamental para qualquer arquitecto de rede é simples: se um sistema for comprometido, quantos outros sistemas ficarão afectados?
O erro de categoria: disaster recovery não é cyber recovery
A razão pela qual um operador de telecomunicações, mesmo com elevada redundância, pode permanecer indisponível durante mais de 24 horas após um ataque reside no facto de o Disaster Recovery (DR) ter sido concebido para responder a falhas acidentais, e não a ataques maliciosos.
O DR tradicional protege contra incidentes como incêndios, inundações, falhas eléctricas ou avarias de infraestruturas, através da replicação de sistemas para um local alternativo. No entanto, este modelo parte do princípio de que a cópia de segurança ou o sistema secundário permanecem íntegros.
O problema é que o ransomware compromete precisamente esse pressuposto. Se os dados ou sistemas afectados forem replicados para o ambiente de contingência, a corrupção propaga-se também para a infraestrutura redundante. Nestas circunstâncias, o failover deixa de ser uma solução, porque o sistema alternativo pode estar tão comprometido quanto o principal.
Quando a corrupção dos dados ou a encriptação são replicadas para os sistemas secundários, a redundância transforma-se num mecanismo de propagação. Ao activar o failover, a organização limita-se a mudar para uma cópia igualmente comprometida.
É por esta razão que organizações com infra-estruturas de recuperação geograficamente distribuídas continuam a enfrentar longos períodos de indisponibilidade após um ataque de ransomware.
A recuperação após um ataque de ransomware é muito mais complexa do que um simples failover. Exige identificar quando ocorreu o comprometimento, restaurar uma cópia de segurança anterior à corrupção, validar a sua integridade, eliminar completamente o atacante da infraestrutura e repor os serviços de forma controlada e faseada.
É neste contexto que surge o cyber recovery, como complemento ao disaster recovery tradicional. Este modelo assenta em backups imutáveis e isolados, validação regular das cópias de segurança, ambientes de recuperação limpos e procedimentos específicos para incidentes cibernéticos, especialmente ataques de ransomware.
Contudo, existe um risco que a recuperação técnica não resolve: a exfiltração de dados. Muitos ataques modernos copiam informação antes da encriptar, permitindo aos atacantes ameaçar a sua divulgação pública. Nestes casos, restaurar os sistemas devolve a disponibilidade dos serviços, mas não recupera a confidencialidade dos dados já comprometidos.
O caso da Unitel demonstra que a redundância tradicional não é suficiente para enfrentar ameaças cibernéticas. A segmentação da rede, a deteção precoce de movimentos laterais, a proteção dos acessos remotos e a existência de backups imutáveis e testados são factores determinantes para reduzir o impacto e o tempo de recuperação. Para operadores de telecomunicações, a resiliência cibernética deixou de ser apenas uma preocupação técnica, passando a constituir uma questão estratégica de continuidade de negócio e até de segurança nacional.
