A cibersegurança durante os Jogos Olímpicos e Paralímpicos de Paris 2024
Os Jogos Olímpicos e Paralímpicos (JOP) são as competições desportivas mais seguidas do mundo. Cada nação procura destacar-se nestas competições, conquistando o maior número de medalhas e garantindo assim um prestígio internacional indiscutível.
Para além dos aspetos desportivos, os grandes eventos deste tipo são particularmente sensíveis para os países anfitriões. O sucesso da sua organização é crucial, nomeadamente no que diz respeito à segurança e à cibersegurança.
Os Jogos Olímpicos e Paralímpicos de Paris, que decorreram entre julho e setembro de 2024, não foram, evidentemente, exceção. Tanto mais que se realizaram num contexto particular, tornando as ameaças cibernéticas omnipresentes.
Um contexto nacional e internacional marcado por tensões
Embora a aproximação dos Jogos seja tradicionalmente marcada pela trégua olímpica, é evidente que esta está a ser cada vez mais comprometida pelo contexto político e geopolítico.
Em França, as tensões sociais e políticas foram exacerbadas pela realização das eleições legislativas a 30 de junho e 7 de julho de 2024, ou seja, menos de 20 dias antes do início dos Jogos Olímpicos de Paris.
No cenário internacional, os conflitos que envolvem Estados ou grupos armados de destaque, sem esquecer as crescentes rivalidades geopolíticas entre as grandes potências, têm constituído um terreno propício para eventuais ataques cibernéticos.
Estavam, portanto, reunidos todos os elementos para que pairassem ameaças graves sobre a organização dos Jogos Olímpicos e Paraolímpicos.
Terroristas, hacktivistas (ativistas que recorrem a ciberataques com fins políticos), cibercriminosos ou mesmo governos hostis poderiam aproveitar este grande evento desportivo para levar a cabo operações no ciberespaço.
Ameaças cibernéticas cada vez mais presentes durante os Jogos Olímpicos
Na verdade, o surgimento das ameaças cibernéticas no âmbito olímpico não data de 2024. Estas têm vindo a aumentar à medida que o papel do digital na nossa sociedade se tem reforçado.
Já em 2008, os Jogos Olímpicos de Pequim tinham sido alvo de ciberataques. Os cibercriminosos aproveitaram a oportunidade económica do evento: venda de bilhetes falsos para assistir às competições, phishing em massa para extorquir dados pessoais ou bancários, etc.
Esta edição foi também marcada pelas ações de hacktivistas que aproveitaram a plataforma oferecida pelo evento para abordar temas políticos.
Em 2012, em Londres, foi registado um ataque DDoS (ataque de negação de serviço destinado a perturbar o funcionamento de um servidor), sem que isso tenha, no entanto, prejudicado o bom desenrolar do evento.
Em 2014, os Jogos Olímpicos de Inverno de Sochi foram marcados por uma operação de ciberespionagem que visou tanto as organizações olímpicas como os atletas, os espectadores e os jornalistas.
Em 2016, no Rio, a ciberespionagem voltou a ser notícia, assim como um aumento considerável do número de tentativas de phishing na véspera dos Jogos.
Em 2018, pela primeira vez, um ciberataque de grande envergadura teve como alvo a cerimónia de abertura dos Jogos Olímpicos de Inverno de Pyeongchang, na Coreia do Sul. A operação tinha como objetivo perturbar o bom desenrolar do evento e a sua transmissão.
Com a aproximação dos Jogos de Paris, o panorama em matéria de cibersegurança era, portanto, amplamente conhecido. Em termos simples, a questão já não era saber se iriam ocorrer ciberataques, mas sim como minimizar ao máximo o seu impacto.
Analisar, sensibilizar e proteger para antecipar as ameaças cibernéticas
Os grandes eventos têm a particularidade de que o objetivo principal é levar a cabo a missão a qualquer custo. Por outras palavras, em caso de piratagem, a capacidade de resiliência deve ser imediata.
Partindo deste pressuposto,a ANSSI (Agência Nacional de Segurança dos Sistemas de Informação) trabalhou em conjunto com as autoridades competentes e o Comité Organizador de Paris 2024.
A segurança dos Jogos face aos riscos cibernéticos articulou-se em torno de cinco eixos:
- Identificar as ameaças cibernéticas que pesam sobre os Jogos
- Proteger os sistemas de informação críticos
- Proteger os dados confidenciais
- Sensibilizar o ecossistema dos jogos
- Preparar-se para intervir em caso de ciberataque
É importante referir que o ecossistema de Paris 2024 reunia cerca de 500 entidades, distribuídas por 3 categorias consoante o seu nível de criticidade. Cada entidade beneficiou do apoio da ANSSI (auditoria de cibersegurança, apoio técnico, etc.).
A principal dificuldade para as autoridades competentes consistiu em sensibilizar os colaboradores do ecossistema dos Jogos, que constituem a primeira linha de defesa em matéria de cibersegurança. Para tal, é necessário estar particularmente atento às tentativas de phishing ou smishing, que representam a porta de entrada de 80% dos ciberataques.
Descubra como sensibilizar os seus colaboradores para a luta contra o phishing com a solução AvantdeCliquer.
Cibersegurança dos Jogos Olímpicos de Paris 2024: hora de fazer um balanço
A ANSSI previa um verão muito crítico do ponto de vista da cibersegurança. Embora nenhum ciberataque tenha sido notícia de primeira página, isso não significa que não tenham ocorrido. De facto, cerca de 548 incidentes afetaram o ecossistema dos Jogos entre 8 de maio e 8 de setembro de 2024.
Destes 548 casos, apenas 83 foram classificados como «incidentes», ou seja, eventos em que os piratas conseguiram atingir com sucesso o seu alvo. A esmagadora maioria foi, portanto, classificada como «notificação», o que significa que o impacto nos sistemas de informação das vítimas foi limitado.
Um dos principais objetivos era garantir o bom desenrolar das cerimónias de abertura e de encerramento. Uma vez que estes eventos são acompanhados por várias centenas de milhões de pessoas em todo o mundo, é fácil compreender o que está em jogo.
O objetivo foi alcançado, uma vez que nenhum ciberataque afetou os espetáculos, nem, aliás, o bom desenrolar das provas. Pode-se até considerar a cibersegurança como um dos grandes sucessos de Paris 2024. Infelizmente, não é um dos que mais chamam a atenção dos meios de comunicação.
A organização dos Jogos Olímpicos e Paralímpicos de Paris constituiu uma oportunidade para muitos intervenientes avançarem no domínio da cibersegurança. O desafio consiste agora em manter este impulso e não ficar para trás em relação aos hackers. E tudo isto num contexto orçamental delicado.
Ainda mais porque, precisamente, não houve nenhum incidente grave a registar. Paradoxalmente, isso pode levar a um abrandamento das práticas em matéria de cibersegurança. Daí a importância de formar e sensibilizar continuamente o elemento-chave da cibersegurança: o ser humano.
Perspetivas: a cibersegurança no setor dos eventos
Uma das lições a retirar da organização dos Jogos Olímpicos e Paralímpicos é a evidência da vulnerabilidade dos eventos, nomeadamente desportivos, face às ameaças cibernéticas.
É importante ter em mente que a missão de um organizador de eventos é levar a bom termo um projeto num prazo bastante curto. A cibersegurança pode parecer supérflua neste contexto e ainda não é um reflexo natural para muitos intervenientes.
Ainda mais porque as entidades envolvidas na organização destes eventos são, na sua maioria, pequenas empresas. É evidente que estas não têm capacidade para suportar os mesmos esforços em matéria de cibersegurança que os grandes grupos.
No entanto, devido à sua cobertura mediática, os eventos excecionais são um alvo privilegiado para os hackers. E provavelmente tornar-se-ão cada vez mais no futuro.
É precisamente esse o objetivo do projeto Stadia, liderado pela Interpol, que visa criar um centro de excelência em matéria de segurança (física e cibernética) durante grandes eventos internacionais, nomeadamente desportivos.
Por fim, será interessante observar se a experiência adquirida nos Jogos Olímpicos e Paralímpicos de Paris 2024 em matéria de cibersegurança será aproveitada na transposição para o direito francês da diretiva europeia NIS2.
Fontes: www.cyber.gouv.fr, www.blog.sekoia.io, Matinal do CyberCercle de 13 de novembro de 2024, com a presença de Philippe LATOMBE (deputado da Vendée), Nicolas Moreau (Conselheiro de Segurança Digital da Prefeitura de Polícia de Paris) e Franz Regul (Responsável pela Segurança dos Sistemas de Informação de Paris 2024).
Diretores de Sistemas de Informação (DSI), Diretores de Segurança de Sistemas de Informação (RSSI) e Responsáveis pela Proteção de Dados (DPO), solicitem uma demonstração gratuita da solução totalmente automatizada de sensibilização para o phishing:
