O Poder do CIO: Maersk e o NotPetya – Como reconstruir uma empresa global em 10 dias

Em junho de 2017, o ataque cibernético NotPetya apagou os sistemas da Maersk, a maior empresa de transporte de contêineres do mundo, responsável por cerca de 20% do comércio global. Em 10 dias, a companhia reinstalou 4 mil servidores, 45 mil computadores e 2.500 aplicativos, enquanto operava manualmente. O prejuízo foi estimado entre 250 e 300 milhões de dólares. A recuperação dependeu de uma única cópia dos dados de acesso, que sobreviveu em um servidor em Gana porque uma queda de energia o havia desligado da rede.

O caso é o mais estudado de recuperação de desastre em tecnologia e mostra a responsabilidade central de um CIO: manter a empresa funcionando quando os sistemas param.

O que foi o NotPetya?

Um programa malicioso que começou a se espalhar em 27 de junho de 2017. Especialistas em segurança acreditam que a origem foi uma atualização adulterada do M.E.Doc, software de contabilidade fiscal usado por empresas na Ucrânia, distribuída pelo próprio servidor de atualizações do fornecedor.

O código foi desenhado para se propagar rápido e causar dano. Ele combinava três recursos:

• EternalBlue: uma ferramenta de invasão roubada da Agência de Segurança Nacional dos Estados Unidos (NSA), que explorava uma falha do Windows para executar código em máquinas sem a correção instalada.
• Mimikatz: um programa que extraía senhas da memória dos computadores e as reaproveitava para entrar em outras máquinas da mesma rede.
• Criptografia dos discos: o conteúdo dos computadores era embaralhado, e não havia como recuperá-lo.

Nenhuma forma de recuperar os arquivos era oferecida. O efeito prático era destruir.

Em janeiro de 2018, relatos atribuíram à CIA a conclusão de que o serviço de inteligência militar da Rússia havia criado o código. Em fevereiro, o Ministério da Defesa britânico acusou a Rússia, que negou. O assessor de segurança interna da Casa Branca, Tom Bossert, estimou o dano global em mais de 10 bilhões de dólares.

O que aconteceu na Maersk?

A rede inteira caiu. Os 150 controladores de domínio da empresa, servidores que guardam os nomes de usuário, as senhas e as permissões de acesso de todos os funcionários, foram apagados. Sem eles, ninguém consegue entrar em nenhum sistema, mesmo que o sistema esteja intacto.

A operação passou ao modo manual. Segundo o presidente do conselho, Jim Hagemann Snabe, os funcionários processaram à mão 80% do volume de trabalho, e a empresa teve queda de 20% no volume durante o período sem tecnologia. Para dar a dimensão, Snabe lembrou que um navio com 10 mil a 20 mil contêineres atraca em algum porto a cada 15 minutos.

Por que o servidor de Gana salvou a empresa?

Porque era o único que estava desligado. Todos os dados, cópias de segurança e sistemas da Maersk podiam ser alcançados pela rede, com exceção do controlador de domínio de Gana, protegido por uma falta de energia no momento do ataque. Ele foi a fonte para reconstruir o controle de acesso de toda a companhia.

O detalhe que torna o episódio incômodo é este: a empresa tinha 50 cópias desses dados, todas no mesmo formato e todas conectadas à rede. Cinquenta cópias acessíveis ao mesmo ataque equivalem, na prática, a nenhuma. A que sobreviveu sobreviveu por acaso.

Como foi a reconstrução?

Em 10 dias, a Maersk reinstalou:

1. mais de 4 mil servidores;
2. 45 mil computadores pessoais;
3. 2.500 aplicativos.

Snabe resumiu: “Basicamente, tivemos de reinstalar uma infraestrutura inteira”. Segundo ele, um trabalho desse porte levaria normalmente pelo menos seis meses. A empresa fez em dez dias o que levaria cerca de 180, um ritmo 18 vezes mais rápido, sob a pressão de uma operação global parada.

O custo foi estimado entre 250 e 300 milhões de dólares, somando despesas e receita perdida. Da data do ataque até meados de agosto, várias operações globais ficaram, na prática, paralisadas.

A empresa tinha sido avisada?

Tinha. Em 2016, administradores de sistemas alertaram que a rede de mais de 80 mil computadores estava vulnerável. Servidores com Windows 2000 e computadores com Windows XP, sistemas sem suporte do fabricante, estavam atrasados para substituição. A diretoria aprovou as atualizações.

Elas não foram feitas a tempo. O estudo de caso registra um motivo revelador: os bônus dos administradores estavam atrelados ao tempo de funcionamento dos sistemas, e não à segurança. Atualizar um servidor significa desligá-lo por algumas horas, o que reduz o indicador pelo qual a equipe era paga.

Em março de 2017, a Microsoft havia publicado uma correção de emergência que protegia contra a falha usada pelo NotPetya. O ataque veio três meses depois.

Quais falhas o caso expõe?

Quatro, todas de gestão, e não de tecnologia:

• Atualização atrasada: a correção existia desde março.
• Cópias de segurança expostas: 50 cópias na mesma rede, nenhuma isolada.
• Ausência de planos: a empresa não tinha plano de continuidade de negócios nem plano de recuperação de desastres.
• Incentivo errado: a meta da equipe premiava exatamente o comportamento que deixava a rede vulnerável.

A regra que teria evitado a dependência do acaso é conhecida como 3-2-1: três cópias dos dados críticos, em dois formatos diferentes, com uma delas guardada fora da empresa e desconectada de qualquer rede.

O que a Maersk concluiu?

Que estava abaixo do necessário. Snabe disse em Davos, em 2018, que a empresa descobriu que sua capacidade de segurança era apenas “média” e que era “hora de parar de ser ingênuo quando se trata de segurança cibernética”. A meta passou a ser transformar a segurança em vantagem competitiva.

O que o caso Maersk ensina a quem quer ser CIO?

Ensina que a pergunta mais importante do cargo não é se a empresa será atacada, e sim quanto tempo ela leva para voltar. A resposta depende de decisões tomadas antes: onde estão as cópias, quem sabe operar no modo manual, que sistemas voltam primeiro.

Ensina também que o CIO desenha incentivos. Uma meta de disponibilidade que penaliza a manutenção de segurança produz uma rede vulnerável, por mais competente que seja a equipe. Formação, trajetória e remuneração da função estão na página de CIO (Diretor de Tecnologia da Informação) do Guia de Carreiras.