Um país deixou de registar imóveis numa terça-feira

Na noite de 13 de julho, os sistemas da Agência Nacional de Cadastro e Publicidade Imobiliária da Roménia deixaram de responder e, na terça-feira 14 de julho, a plataforma cadastral e-Terra, os sítios da agência e os seus servidores de correio estavam todos inacessíveis. A ANCPI descreveu depois o episódio como o incidente técnico mais grave da história da instituição. A Direção Nacional de Cibersegurança romena, a DNSC, confirmou tratar-se de um ciberataque e classificou-o como motivado por dinheiro, executado com credenciais divulgadas e vulnerabilidades conhecidas, e não por um ator estatal. Uma semana depois, a plataforma ainda não tinha regressado.

O efeito prático foi imediato e nacional. Os notários não conseguiam autenticar vendas, registar transmissões nem inscrever hipotecas, porque na Roménia esses atos passam justamente pelo registo que o atacante pôs fora de serviço. Um atacante sob o nome ByteToBreach reivindicou a ação e, a partir de 15 de julho, material atribuído à agência, incluindo bases de dados internas e código-fonte, foi colocado à venda num fórum. A empresa de segurança KELA associou esse nome a Zakaria Mahdjoub, alegado cibercriminoso residente em Oran, na Argélia.

Duas versões da mesma semana

O comunicado da ANCPI é cuidadoso e estreito. Afirma que as bases de dados técnicas e jurídicas da instituição não foram afetadas e adverte que a informação que circula no espaço público sobre as alegadas consequências do ataque não provém de fontes oficiais. Essa é a posição da agência, publicada no seu próprio sítio, e não foi retirada.

Os investigadores de segurança e o atacante contam a versão mais dura: entrada com credenciais válidas, reconhecimento dos sistemas internos e depois destruição de sistemas e cópias de segurança após o fracasso de uma tentativa de extorsão, com uma recuperação assente numa cópia guardada fora de linha. Ambas as versões podem ser em parte verdadeiras, porque um registo pode perder o ambiente de produção e manter intacto o seu acervo jurídico. Para quem está fora da agência, essa distinção não altera nada de relevante neste mês. O que travou as operações foi a disponibilidade, não a integridade.

A reposição está condicionada. A data fiscal não está.

Quem ler com atenção o plano de reposição da agência não encontra ali qualquer data. A ANCPI indica que as aplicações estão a ser migradas para a nuvem governamental, com conclusão estimada para quarta-feira, 22 de julho, após o que instituições autorizadas verificarão os sistemas e elaborarão um relatório, e só então o serviço regressa por fases segundo a prioridade operacional. Os sistemas afetados mantêm-se isolados até que cada fragilidade identificada esteja corrigida. Isto é uma cadeia de condições e não um compromisso, e é a forma correta de conduzir uma recuperação. É também uma cadeia sem limite.

Contra essa cadeia sem limite ergue-se outra perfeitamente limitada. Os contratos-promessa celebrados ao abrigo do regime romeno reduzido de 9 por cento de IVA para habitação nova caducam no fim de julho, aplicando-se depois a taxa normal de 21 por cento às operações abrangidas. Nenhuma prorrogação foi anunciada. Doze pontos percentuais de um preço de compra dependem agora de um ato administrativo que ninguém no país consegue praticar. O mesmo Estado controla a paragem e o prazo, e até agora moveu apenas um dos dois, ou seja, nenhum.

Um registo em monopólio não tem comutação

Os empresários compram redundância para as partes da infraestrutura que controlam. Mantêm uma segunda região de nuvem, um segundo operador, um segundo prestador de pagamentos. Os pontos únicos de falha que realmente travam um negócio ficam quase sempre fora desse perímetro: um registo predial, um registo comercial, um verificador de número de IVA, um ponto nacional de faturação eletrónica, um esquema de identidade. Nada disto se compra em duplicado, porque o Estado é o único fornecedor e a resiliência de que depende é inteiramente alheia. Em Portugal, a mesma dependência passa pela Conservatória do Registo Predial, e um comprador português não tem mais alternativa do que um romeno.

Também não é um caso isolado. Os registos prediais da Polónia, da Eslováquia, da Grécia, de Marrocos, da Rússia e da Ucrânia foram atacados nos últimos três anos, o que faz da indisponibilidade de um registo público um risco planeável e não um caso de força maior. Ao abrigo da NIS2, quem opera estes registos cai claramente no âmbito enquanto entidade da administração pública, mas a diretiva obriga-os a gerir o risco, não a indemnizá-lo pela semana em que faltaram.

O que escrever antes de chegar a sua semana

Reserve uma hora e enumere cada registo público sem o qual uma operação sua não pode fechar. Para cada um, anote que saída legal existe quando está indisponível, seja entrega em papel, depósito notarial, inscrição provisória ou simplesmente nenhuma, e indique a pessoa autorizada a acioná-la. Depois coloque ao seu advogado a pergunta que os compradores romenos estão a fazer agora: um prazo legal suspende-se quando o registo necessário para o cumprir está em baixo? Na Roménia, a resposta chega depois do prazo, que é o pior momento possível para a conhecer.

Do seu lado, a lição é mais estreita e mais antiga. A via de entrada foram credenciais divulgadas mais vulnerabilidades já conhecidas, ou seja, a combinação que há anos não exige uma única técnica nova. Imponha autenticação multifator resistente a phishing em todas as contas de administração, faça caducar as credenciais que apareçam em coleções de dados roubados sem esperar por prova de utilização, e mantenha pelo menos um caminho de reposição que viva fora do conjunto de credenciais com que corre a produção. A cópia fora de linha é precisamente aquela que um atacante na posse das suas palavras-passe não consegue alcançar.

Leia a seguir: A correção do nginx saiu, o exploit chega em agosto  |  A ServiceNow corrigiu primeiro a nuvem dela, a sua casa só 103 dias depois