Ataque expõe diretório interno do INSEE mas poupa dados dos franceses

O organismo que conta a França passou a contar vítimas. O INSEE, instituto nacional de estatística francês, revelou que um ciberataque expôs dados pessoais de cerca de 12.800 pessoas: funcionários atuais, antigos e membros de corpos especiais da função pública ligados à casa.

A intrusão foi detetada a 19 de junho e atingiu o trombi.insee.fr, um diretório interno mais parecido com um quadro de fotografias e contactos do que com um cofre de informação sensível. Segundo o INSEE, o que saiu dali foi o lado aborrecido dos dados: nomes, alguns identificadores e contactos profissionais. Fica de fora o ouro puro de qualquer atacante: palavras-passe, dados bancários e números de segurança social. Também não há indícios de acesso aos dados estatísticos recolhidos junto de empresas e cidadãos, o coração da instituição.

É pouco dramático ao nível individual, mas não é irrelevante. Uma base de emails e nomes de funcionários públicos é matéria-prima perfeita para campanhas de phishing dirigidas. Quem acompanha o crime digital sabe o guião: um atacante finge ser um colega ou superior, usa os detalhes reais do diretório para ganhar confiança e, a partir daí, tenta puxar credenciais, anexos ou acessos remotos. Não é o ficheiro isolado que assusta, é a forma como se encadeia com outras fugas de dados e com a indústria de perfis que vive de informação raspada de redes profissionais.

O ficheiro terá sido publicado por um utilizador com o pseudónimo “Saturne” num fórum de cibercrime, mais um exemplo de como o modelo de negócio mudou. Em vez de notas de resgate dramáticas, muitos ataques passam a ganhar visibilidade quando a base de dados aparece listada num mercado cinzento, ao melhor licitante. A fuga do INSEE, sozinha, é modesta. O problema é o contexto: a França leva 2026 a encaixar ataque atrás de ataque a estruturas do Estado, dos sistemas do Ministério do Interior à agência nacional de documentos seguros e até à plataforma de mensagens governamental Tchap, como têm contado investigações da Cybernews.

Analistas citados por esses meios falam de um Estado esticado, com anos de subinvestimento em cibersegurança quando comparado com países equivalentes, e uma pressão constante através de ataques de engenharia social aos funcionários da linha da frente. Um diretório telefónico interno é o alvo típico de baixo valor e baixas defesas, apanhado quando alguém vai “batendo às portas” à procura da primeira fechadura mal trancada. Não por acaso, Bruxelas discute reforçar a cooperação policial europeia em cibercrime, como se viu quando analisámos a proposta para uma Europol mais musculada em crime digital em toda a UE.

O caso também expõe um certo desfasamento na narrativa da “soberania digital”. Paris tem empurrado a administração central para a migração de Windows para Linux, numa tentativa de controlar melhor a pilha de software usada pelo Estado. Mas controlar o sistema operativo não resolve diretórios mal protegidos, aplicações internas envelhecidas ou práticas laxistas de gestão de acessos. Para quem olha de Portugal, onde a digitalização da máquina pública avança a ritmos diferentes conforme o ministério, o recado é direto: não basta trocar de sistema operativo ou assinar mais um contrato de firewall. Ou se leva a sério a segurança dos sistemas mais mundanos, ou o próximo diretório a aparecer num fórum pode muito bem falar noutra língua europeia.

Fonte: The Next Web