A Comissão Europeia sofre um ciberataque contra a infraestrutura cloud de Europa.eu

O que aconteceu

A Comissão Europeia comunicou um ciberataque contra a infraestrutura cloud que alojava a plataforma web Europa.eu. As primeiras conclusões apontavam para a extração de dados dos sites afetados, sem comprometimento dos sistemas internos da Comissão, segundo a Reuters.

O ataque limitou-se à infraestrutura que suporta o site público, o que sugere que a separação entre esses serviços e as redes internas da instituição cumpriu a sua função de conter o alcance do incidente.

O que significa para uma média empresa

Muitas organizações mantêm o seu site corporativo, formulários ou portais de clientes no mesmo ambiente ou com as mesmas credenciais que a sua rede interna. Este caso demonstra o valor de manter essa separação: um ataque a um serviço público não tem de comprometer sistemas críticos se estiverem devidamente isolados.

Também ilustra um princípio de conceção: qualquer serviço exposto à internet deve ser tratado como se pudesse ser comprometido a qualquer momento, e a arquitetura deve limitar o alcance desse comprometimento.

O que convém rever

Medidas que limitam o raio de impacto de um ataque a serviços públicos:

• Se o site corporativo e os portais públicos estão segmentados relativamente à rede interna e aos sistemas de gestão.
• Se utilizam credenciais e identidades independentes das contas administrativas internas.
• Se o alojamento cloud destes serviços dispõe de cópias de segurança e de um plano de restauro testado.
• Se existe um plano de comunicação previsto para um incidente que afete um serviço público destinado ao cliente.

Perguntas frequentes

¿Os sistemas internos da Comissão foram afetados?

Segundo as primeiras conclusões citadas pela Reuters, não; o incidente limitou-se à infraestrutura cloud que alojava a plataforma web Europa.

¿Que tipo de dados foram afetados?

As primeiras conclusões apontavam para a extração de dados dos sites afetados, sem mais pormenores públicos disponíveis sobre o seu alcance.

¿Que lição se aplica a uma empresa que não é uma instituição pública?

Que separar os serviços públicos das redes internas e utilizar identidades independentes limita o impacto se um desses serviços for comprometido.