Falha na Tata expõe fragilidade da cadeia Apple e Tesla

Mais de 630 gigabytes de ficheiros roubados a um fabricante indiano não seriam notícia global, não fosse um pormenor: no meio dos dados surgem pastas com o nome Apple e Tesla. O alvo foi a Tata Electronics, braço do conglomerado Tata que monta iPhones e produz componentes na Índia. Um grupo de ransomware que se apresenta como World Leaks afirma ter publicado uma amostra dos documentos na dark web e promete divulgar mais.

Segundo o que o próprio grupo e investigadores que viram o índice descrevem, o pacote inclui mais de 200 mil ficheiros. Entre eles haverá pastas baptizadas “com.apple.factorydata” e documentos de “material specification”, bem como um relatório de 52 páginas com marcas proprietárias da Apple que alegadamente detalha normas de inspeção de qualidade para componentes de placas de circuito do iPhone. No lado da Tesla, surge uma pasta “NV36 Chargeport Controller – North America”, que apontaria para peças de um Model Y atualizado.

Convém sublinhar os verbos: alegadamente, supostamente, purported, como repetem as fontes citadas. Ninguém fora dos atacantes e de quem está a vasculhar o dump consegue hoje confirmar se aqueles ficheiros são genuínos, dados de teste, lixo reciclado de outro ataque ou puro teatro para inflacionar o valor do resgate. O incentivo do World Leaks para exagerar é óbvio, e a indústria de ransomware vive precisamente desta mistura de extorsão técnica com relações públicas tóxicas.

A Tata confirmou o incidente, detectado “há algumas semanas” em parte dos seus sistemas, e diz ter ativado de imediato os protocolos de resposta, assegurando que não houve impacto nas operações. Não comentou o conteúdo concreto dos ficheiros, apenas reconheceu ter recebido uma exigência de resgate. A Apple estará a investigar o caso, mas ainda não se pronunciou publicamente. Para uma empresa que já anda sob escrutínio regulatório na Europa, como se viu na investigação DMA ao iCloud em Itália, mais uma exposição de fragilidade, ainda que indireta, não é propriamente confortável.

O ponto central aqui não é tanto o nome do fornecedor indiano, é a dependência estrutural de Apple, Tesla e companhia de cadeias de fornecimento gigantes, opacas e com níveis de segurança muito irregulares. Tata Electronics tem passado os últimos anos a vender-se como pilar da estratégia da Apple fora da China, com montagem de iPhones e produção de componentes na Índia. Só que os segredos que passam por um fabricante contratado não lhe pertencem, pertencem ao cliente. Quando um elo cede, quem fica nu é quem nunca ligou aquela rede na vida.

Este ataque encaixa num padrão que já vimos noutras áreas: o maior roubo de dados de educação em registo não atingiu uma escola, atingiu um fornecedor de software. As organizações continuam a falar em “cibersegurança” como algo que se compra em appliances e serviços, mas o problema real é governança sobre terceiros. Enquanto Apple, Tesla e restantes gigantes aceitarem que o seu IP viva em infraestruturas de parceiros cuja segurança não controlam a sério, não adianta muito endurecer firewalls em Cupertino ou em Austin. A superfície de ataque está na periferia, e é aí que os atacantes vão continuar a carregar.

Fonte: The Next Web