Três meses depois de um ataque cibernético ao sistema da Biblioteca Britânica, em outubro de 2023, os dados e o website ainda não foram recuperados. O mesmo aconteceu com o sistema do Museu de História Natural de Berlim, no mesmo mês — e as investigações continuam em andamento.
Um artigo da Nature pontou como os casos de ataques cibernéticos a instituições de conhecimento, incluindo museus e universidades, não são casos isolados. Pelo contrário, eles vem crescendo nos últimos anos e, apesar de serem fáceis de prever, são difíceis de impedir.
Ataques cibernéticos a universidades, museus e bibliotecas
Como lembrou o site, em 28 de outubro, hackers de um grupo chamado Rhysida invadiram os sistemas da Biblioteca Britânica e os tornaram inacessíveis para usuários e equipe. Eles exigiram um resgate em dinheiro, que a instituição se recusou a pagar.
No mês seguinte, o grupo hackers listou meio milhão de documentos e arquivos confidenciais e os anunciou para leilão na dark web, com lances a partir de 20 bitcoins (cerca de R$ 4,22 milhões).
Já no Museu de História Natural de Berlim, uma investigação está em andamento e as visitas presenciais continuam.
Os casos não são isolados. Uma pesquisa descobriu que foram 58 ataques cibernéticos a universidades e outras instituições de conhecimento entre 1988 e 2022, mas que a frequência aumentou em 2015. As informações foram recolhidas de fontes públicas, incluindo reportagens e os próprios websites dos locais afetados.
Por que instituições de conhecimento?
- A pesquisa concluiu que dados relacionados a investigação são um alvo para ataques cibernéticos.
- O artigo lembra que não é difícil prever esses ataques. Por exemplo, é comum que estudantes tentem — e às vezes, consigam — hackear o sistema de uma universidade para alterar notas.
- Além disso, parte da vulnerabilidade acontece porque esses sistemas são acessados diariamente por diferentes computadores institucionais, o que dificulta a proteção.
- Sem contar que é difícil monitorar os usuários, alguns com senhas fracas e sem autenticação de dois fatores, o que evitaria uma invasão tão facilmente. Como mostrou um estudo da IBM, apenas quatro a cada dez organizações, incluindo de educação, exigem que os usuários verifiquem os métodos de autenticação da conta.
Investigações e quem paga a conta do ataque cibernético
Outra questão levantada pelo artigo é o sigilo nas investigações. A Biblioteca Britânica, por exemplo, só revelou que a falha no sistema era um ataque cibernético depois de um mês.
Isso porque algumas autoridades acreditam que a divulgação desse tipo de ocorrência pode ser um risco para aumentar ainda mais as vulnerabilidades das instituições. O artigo defende o contrário: que a colaboração entre a comunidade de segurança informática e os responsáveis pela investigação pode ajudar a prevenir, lidar e se proteger de ataques futuros.
E, no caso dos hackers exigirem resgate, quem paga a conta? Como as instituições são públicas, essa é outra questão em aberto.
No caso da Biblioteca Britânica, o resgate não foi pago. Alguns dos arquivos que antes ficavam online já podem ser acessados novamente, mas a organização terá que desembolsar entre 6 e 7 milhões de libras (cerca de R$ 37 a R$ 43 milhões) para reparar todos os danos.
O governo do Reino Unido não se manifestou se vai ajudar com os custos, algo que, inclusive, deixou os bibliotecários revoltados, já que a instituição é a biblioteca nacional do país.