Um “mau ator” tentou violar o sistema de arquivamento da FEC uma semana antes das provas, levantando as mesmas questões de dependência de terceiros que a vulnerabilidade do PHP expôs dias antes
Um incidente cibernético na Comissão Eleitoral Federal interrompeu os registos de financiamento de campanha uma semana antes das eleições intercalares dos EUA, expondo como um ataque a uma organização pode interromper o trabalho urgente de outras que dependem dos seus sistemas.
De acordo com um reportagem exclusiva da Reuterso sistema de arquivamento electrónico da FEC ficou offline em 26 de Outubro, impedindo as organizações políticas de apresentarem relatórios que divulgassem gastos em corridas individuais.
Um oficial de arquivamento eletrônico da FEC disse às empresas de conformidade de campanha que um “mau ator” estava tentando violar os sistemas da agência, de acordo com um e-mail analisado pela agência de notícias.
Os relatórios disponíveis não estabelecem que os sistemas da FEC foram violados com sucesso, que os dados foram comprometidos ou que qualquer organização sofreu uma perda segurada.
A interrupção do arquivamento atinge uma janela crítica
A interrupção começou por volta das 22h. Horário do Leste, em 26 de outubro, de acordo com a página de status da FEC. Na noite de 27 de outubro, a agência disse ter identificado o problema e estar implementando uma correção. Sua última atualização de status não informava que o serviço havia sido restaurado.
A FEC disse que sua equipe estava trabalhando para restaurar o sistema de arquivamento eletrônico. Os usuários ainda podem pesquisar relatórios anteriores em seu site, informou a Reuters.
A interrupção afeta os relatórios de 24 e 48 horas que as organizações políticas usam para divulgar gastos em corridas específicas. Esses registos são particularmente significativos nos últimos dias antes de uma eleição, quando somas substanciais podem ser gastas num curto período.
Steven Mele, presidente e CEO da empresa de conformidade financeira política MBA Consulting Group, disse à Reuters que nunca tinha visto uma interrupção como esta em 26 anos.
A FEC não administra as eleições nos EUA e a interrupção não deve afetar a capacidade dos eleitores de votar, informou a Reuters.
Os temores cibernéticos aumentaram após a exposição à vulnerabilidade do PHP
A interrupção da FEC segue-se à divulgação de duas vulnerabilidades críticas no PHP, uma linguagem de programação utilizada para executar websites e aplicações web, incluindo alguns serviços relacionados com eleições.
O FBI alertou em 23 de outubro que as vulnerabilidades poderiam permitir que invasores executassem códigos maliciosos remotamente nos sistemas afetados, comprometendo potencialmente dados e redes confidenciais. Atualizações de segurança foram lançadas e o FBI instou as organizações a aplicá-las imediatamente.
Embora não existam provas que liguem o incidente da FEC às vulnerabilidades do PHP, o momento da divulgação do PHP suscitou preocupação entre os especialistas em segurança eleitoral.
Num comunicado de 21 de outubro, o Election Security Exchange, que fornece orientação aos funcionários eleitorais, disse que o software afetado poderia ser usado em ferramentas de registo eleitoral e de pesquisa de locais de votação, páginas de acompanhamento de votos e sites de resultados de noites eleitorais. Instou as autoridades a confirmarem com os seus fornecedores de tecnologia se as atualizações críticas foram aplicadas.
O que os corretores com clientes políticos e de compliance devem considerar
O incidente da FEC é um exemplo prático de uma questão de cobertura que o artigo sobre vulnerabilidade do PHP levantou na semana passada: quando um cliente não consegue cumprir um prazo de arquivamento regulatório porque um sistema governamental de terceiros não está disponível, sua política responde?
Para a maioria das políticas cibernéticas padrão, a resposta depende de a cobertura dos sistemas dependentes se estender às infraestruturas operadas pelo governo – e muitas formulações não abordam explicitamente esta questão. Organizações políticas, empresas de conformidade de financiamento de campanha e fornecedores de tecnologia eleitoral são todos clientes que os corretores podem servir, e a interrupção da FEC demonstra que as suas obrigações de apresentação de documentos não são interrompidas porque o sistema de um terceiro falhou.
A questão para os corretores é se os clientes cujos prazos regulamentares dependem de sistemas externos revisaram recentemente a cobertura dos seus sistemas dependentes e se a sua política distingue entre uma falha comercial do fornecedor e uma falha do sistema governamental. O sistema da FEC pode ser restaurado antes de qualquer perda segurada ser estabelecida – mas a dependência é real e vale a pena mapear antes do próximo prazo.
