O que parou
O Superior Tribunal de Justiça é a mais alta corte brasileira para matéria infraconstitucional - a última instância de boa parte do direito civil e penal que afeta a vida comum. Na terça-feira, 3 de novembro de 2020, ele identificou um ataque cibernético à sua rede. O site saiu do ar no mesmo dia. Os processos e o correio eletrônico do tribunal ficaram inacessíveis.
A resposta da corte foi tirar tudo do ar para preservar a integridade, e então fazer algo que não tem equivalente na maioria das histórias de invasão: o presidente do tribunal baixou uma resolução suspendendo as sessões de julgamento e os prazos processuais. Só matérias urgentes - habeas corpus, mandados de segurança - seriam apreciadas. Num sistema jurídico, prazos não são conveniência administrativa; são o mecanismo pelo qual direitos são preservados ou perdidos. Um ataque a um servidor de arquivos parara o relógio de uma jurisdição inteira.
A suspensão foi até 9 de novembro e o site voltou no dia 10. O tribunal comunicou que sua secretaria de tecnologia concluíra o restabelecimento do sistema em 18 de novembro - quinze dias depois de o ataque ser identificado. Tudo isso enquanto o Judiciário trabalhava remotamente por causa da pandemia, que é parte da razão de aquilo importar tanto e parte da razão de ter sido possível.
O que o atingiu
O malware foi identificado na cobertura de segurança como RansomEXX, uma variante repaginada que ficara conhecida em junho de 2020 após um ataque ao Departamento de Trânsito do Texas. Jornalistas relataram um bilhete de resgate deixado num arquivo de texto em ao menos um servidor, com nome em formato compatível com o que pesquisadores registraram em outros incidentes de RansomEXX. A cobertura também pôs a escala em mais de 1.200 máquinas virtuais cifradas.
Foi amplamente descrito no Brasil como o mais grave incidente de segurança já sofrido por um órgão público no país.
A contradição, que é a parte interessante
Aqui o registro não concorda consigo mesmo, e a discordância é mais instrutiva do que uma história limpa seria.
O relato do tribunal: o backup do sistema não foi afetado pelo ataque, o que permitiu a restauração dos arquivos.
O relato da cobertura de segurança: os atacantes cifraram as máquinas virtuais e destruíram os backups.
As duas afirmações estão no registro público. Não podem ser as duas completas. E um terceiro fio corre ao lado: o tribunal nunca confirmou que houve pedido de resgate, o que levou ao menos uma análise jurídica a observar que, a rigor, não se podia afirmar com segurança que se tratava de - a classificação repousava na cobertura, e não em algo que a instituição tenha dito.
Não há como, de fora, resolver isso, e fingir o contrário seria desonesto. O que se pode dizer é o que a discordância demonstra. Uma instituição se recuperando de um ataque responde a várias plateias ao mesmo tempo - jurisdicionados que precisam saber se seu processo ainda existe, um parlamento, a imprensa, e um adversário que continua lendo. Suas declarações são moldadas por todas elas. A cobertura de segurança, trabalhando a partir de artefatos e de gente que viu as máquinas, responde a outra plateia e costuma ser mais específica e menos responsabilizável. Quem lê um relato público de incidente deveria supor que ele é verdadeiro, incompleto e moldado - e reparar em quais perguntas não foram respondidas, e não só ler as que foram.
O artigo sobre RSA e DigiNotar faz a mesma observação sobre 2011, do outro lado do mundo.
Não foi um ataque só
O STJ é lembrado por ter sido o maior, mas a sequência em volta é a parte que um profissional deveria levar.
O Tribunal de Justiça de Pernambuco teria sofrido intrusão semelhante em 27 de outubro, uma semana antes. Em 5 de novembro, dois dias depois do STJ, foram atacadas as bases da Secretaria de Economia do Distrito Federal e do Conselho Nacional de Justiça; o Ministério da Saúde relatou tentativa de invasão. A Polícia Federal, que abriu inquérito por determinação do Ministério da Justiça, apurou se o ataque ao STJ tinha ligação com as invasões em órgãos do Distrito Federal e da União. A inteligência do Exército auxiliou a resposta.
Lido como conjunto e não como evento único, isto é uma campanha contra um setor - tribunais e a administração federal - em quinze dias, num país cujo Judiciário acabara de mover o trabalho para a internet. É o mesmo formato das campanhas contra transferência gerenciada de arquivos que o verbete da Progress registra: um atacante que aprendeu que uma categoria de vítima compartilha software, fornecedores e hábitos, e trabalha a categoria em vez do alvo.
Este caso fica no fim de uma sequência: o fio brasileiro o lê junto com a reserva de mercado, o modelo de governança, a indústria de fraude de pagamentos e a lei de proteção de dados, na ordem em que se causaram.
Por que isto pertence à lista de leitura de um profissional brasileiro
Porque a classe de consequência é outra. A maioria das histórias de invasão termina em dinheiro ou em dados. Esta terminou em prazos processuais suspensos e audiências canceladas, ou seja, em justiça atrasada para pessoas sem nenhuma ligação com tecnologia da informação. Quando você defende um projeto de segmentação ou um teste de restauração, este é o exemplo em que o dano é legível para uma plateia não técnica.
Porque a recuperação levou quinze dias, com os recursos do Estado. O tribunal tinha a Polícia Federal, a inteligência do Exército e atenção política ilimitada. Quinze dias. Qualquer organização que estime o próprio tempo de recuperação com orçamento menor e menos ajuda deveria usar esse número como piso, e não como teto.
E porque a questão do backup é o jogo inteiro. Qualquer que seja o relato correto, o caso gira em torno dela. Se os backups sobreviveram, foram a razão de o tribunal voltar; se foram destruídos e outra coisa foi usada, então a recuperação aconteceu apesar da estratégia de backup. De um jeito ou de outro a instrução prática é idêntica, e é a que o artigo do NotPetya extrai do controlador de domínio acidentalmente offline da Maersk: um backup alcançável a partir da rede que está sendo cifrada não é um backup. Cópias offline ou imutáveis, restaurações testadas e um tempo de recuperação documentado são as três coisas que decidem a duração da parada, e nenhuma delas pode ser providenciada depois do evento.
Fontes
- Wikipédia (português), o ataque cibernético ao Superior Tribunal de Justiça: em novembro de 2020 o STJ foi alvo de ataque de ransomware pelo RansomExx; todo o acervo de processos da Corte foi criptografado, impedindo o acesso sem o pagamento do resgate exigido; segundo o STJ, o backup do sistema não foi afetado, o que permitiu a posterior restauração dos arquivos; o ataque foi identificado em 3 de novembro, o site ficou indisponível no mesmo dia, o Tribunal suspendeu prazos processuais, audiências e sessões de julgamento até o dia 9, e o sítio voltou no dia 10; o STJ encaminhou notícia-crime ao Ministro da Justiça e Segurança Pública, que determinou à Polícia Federal a abertura de inquérito, com o setor de inteligência do Exército Brasileiro também auxiliando na investigação e recuperação dos dados
- TechTudo, novembro de 2020: os sistemas do STJ estavam fora do ar desde a terça-feira 3, quando o ataque bloqueou processos e e-mails da corte; segundo o BleepingComputer o malware era o RansomEXX, versão repaginada do ransomware que ficou conhecido em junho de 2020 após a invasão do Departamento de Trânsito do Texas; todas as sessões de julgamento e prazos processuais foram suspensos e o órgão funcionou apenas em regime de plantão até a segunda-feira, dia 9; o Tribunal de Justiça de Pernambuco teria sido vítima de invasão similar em 27 de outubro
- Migalhas, dezembro de 2020, análise jurídica: o STJ identificou o ataque em 3 de novembro e apenas em 18 de novembro comunicou que a Secretaria de Tecnologia da Informação e Comunicação concluíra o restabelecimento do sistema; todos os sistemas foram retirados do ar para preservar sua inteireza; o STJ não confirmou se houve pedido de resgate, portanto não se pode afirmar com segurança que se trata de ransomware; alguns jornais afirmaram que foi deixada uma mensagem em formato txt numa das pastas do STJ pedindo resgate, sem confirmação do tribunal; o contexto era a pandemia, com o Judiciário atuando à distância
- Gazeta do Povo, novembro de 2020: o presidente do STJ baixou resolução suspendendo as atividades até o dia 9, com apenas processos urgentes como habeas corpus e mandados de segurança sendo analisados; os servidores foram aconselhados a apagar aplicativos de celular e plataformas de acesso remoto; a Secretaria de Economia do Distrito Federal também foi invadida e tirou seus servidores do ar; a Polícia Federal apurou possível ligação entre o ataque ao STJ e invasões em sistemas do Governo do Distrito Federal e da União; no dia 5 foram atacadas as bases da Secretaria de Economia do DF e do Conselho Nacional de Justiça, e o Ministério da Saúde relatou tentativa de invasão
- Baguete, citando o CISO Advisor: os atacantes teriam criptografado mais de 1,2 mil máquinas virtuais e destruído seus backups com o RansomEXX; um dos indicadores foi a nota de resgate deixada em ao menos um servidor, um arquivo de texto cujo nome guarda semelhança com nomes registrados por pesquisadores em outros incidentes; descrito como possivelmente o incidente de segurança mais grave já ocorrido em órgão público brasileiro