Os 5 Principais Riscos Cibernéticos que Acabam de Ser Revelados em Taiwan

1. Softwares de Mensagem Instantânea Falsificados

O risco: Funcionários do governo, principalmente após receberem computadores novos ou de reposição, foram induzidos a baixar versões falsas de aplicativos de comunicação populares, como LINE ou WhatsApp, de sites não oficiais. Esses instaladores falsos continham programas de backdoor (porta dos fundos) que davam aos atacantes acesso persistente às máquinas .

O que as agências devem fazer: A ACS exige mecanismos rigorosos de controle de mudanças e de downloads para todos os sistemas de TIC. Na prática, isso significa que toda instalação de software — seja um aplicativo, um driver ou um componente de hardware — precisa passar por aprovação e auditoria formais antes de entrar em um computador do governo .

2. Ransomware com a Técnica "Traga Seu Próprio Driver"

O risco: Atacantes usaram cada vez mais uma técnica chamada "bring your own driver" (BYOVD, ou "traga seu próprio driver"), explorando drivers legítimos, mas vulneráveis e com assinatura digital, para passar despercebidos pelas ferramentas de detecção de endpoint. Uma vez com acesso a nível de kernel, eles conseguiam desabilitar os produtos de segurança e instalar ransomware sem disparar alarmes .

O que as agências devem fazer: A ACS defende uma defesa em camadas. As agências devem realizar varreduras regulares de vulnerabilidades em sites e corrigir os achados imediatamente. Firewalls de aplicação web (WAFs) devem ser implementados para filtrar requisições maliciosas antes que cheguem às aplicações. Crucialmente, a proteção de endpoint deve ser uma operação contínua: os produtos de segurança precisam ser mantidos atualizados, e as regras de detecção de ameaças devem evoluir conforme novas táticas surgem .

3. Falhas na Cadeia de Suprimentos por Softwares de Acesso Remoto Não Aprovados

O risco: Fornecedores de manutenção de sistemas, muitas vezes com acesso legítimo a servidores web do governo, instalaram softwares de acesso remoto que as agências nunca aprovaram. Os atacantes então usaram ataques de força bruta para quebrar as senhas fracas dessas ferramentas, fazendo login e se movendo lateralmente por sistemas sensíveis .

O que as agências devem fazer: A solução aqui é organizacional, não apenas técnica. A ACS exige normas rigorosas de gestão de segurança para fornecedores, que explicitem os controles de acesso, regras de proteção de dados, procedimentos de gestão de vulnerabilidades e a obrigatoriedade de notificação de incidentes. Auditorias de segurança e verificações de conformidade regulares devem confirmar que os fornecedores estão seguindo as regras — e não apenas no papel .

4. Falhas em Dispositivos de Borda de Rede

O risco: Roteadores, firewalls, dispositivos de VPN (Rede Privada Virtual) e outros aparelhos de borda foram mantidos com firmware desatualizado ou com erros perigosos de configuração, dando aos atacantes um ponto de entrada fácil no perímetro das redes governamentais .

O que as agências devem fazer: A ACS recomenda uma mudança simples, mas poderosa: adotar uma estratégia de lista de permissões (allowlist) para todas as conexões de saída, bloqueando por padrão quaisquer portas de comunicação desnecessárias. As agências também devem fazer um inventário de cada dispositivo de borda — modelo, versão de firmware — e construir um processo contínuo de atualização e verificação para que as correções não sejam apenas aplicadas, mas confirmadas .

5. Engenharia Social Combinada com Abuso de Serviços em Nuvem

O risco: Atacantes combinaram phishing, falsidade ideológica e outros truques de engenharia social com serviços de nuvem comprometidos ou mal configurados para roubar dados sensíveis. Assim que um funcionário clicava em um link ou anexo malicioso, os dados podiam ser extraídos através de um armazenamento em nuvem que parecia legítimo .

O que as agências devem fazer: A ACS especifica uma defesa em duas partes. Primeiro, implementar filtros de e-mail e detecção em sandbox (ambiente de teste isolado) para interceptar anexos e links suspeitos antes que cheguem aos usuários. Segundo, blindar os ambientes de nuvem: restringir permissões de pastas compartilhadas, habilitar a varredura de upload de arquivos e executar verificações de segurança em links da nuvem para impedir a disseminação de arquivos maliciosos .

Um Ano de Ameaças em Evolução

Os dados de 2025 contam uma história maior. Embora o total de incidentes tenha caído 29 em relação a 2024, a esmagadora maioria das violações — mais de dois terços — resultou de acesso não autorizado, uma categoria que abrange desde credenciais roubadas até implantes de backdoor . O espectro de gravidade reflete um cenário de assédio constante e de baixa intensidade: 87,33% dos incidentes foram classificados como Nível 1 (o menos grave), 9,78% como Nível 2, e 2,89% como Nível 3, sem nenhum incidente de Nível 4 registrado .

As cinco categorias de risco da ACS marcam uma mudança na orientação oficial. Alertas anteriores, como os do início de 2025, enfatizavam criptografia fraca, filtragem inadequada contra ataques de injeção e controles de acesso mal configurados . A nova lista, em vez disso, mira as camadas humana e da cadeia de suprimentos que as defesas de perímetro tradicionais frequentemente não alcançam.

Para as agências, a mensagem é inequívoca. A ACS vinculou cada risco a uma ação específica e auditável: aprove cada download, corrija cada dispositivo de borda, audite cada fornecedor e trate cada e-mail como potencialmente hostil. Em um ambiente de ameaças onde 68,6% dos incidentes são invasões, a defesa não se trata mais apenas de bloquear o perímetro — trata-se de controlar o que acontece dentro dele .