Categoria: Opinião

Mensagem enviada à SIBS a 08.04.2023 a seu pedido sobre Referências Multibanco fraudulentas

~ Rui Martins ~ Comentar

A 7 de Abril fomos contactados pela SIBS por forma a que fosse agregada toda a informação sobre o tema das referências Multibanco fraudulentas. Eis o nosso resumo:

Todos os anos muitos portugueses são vítimas de burlas cada vez mais sofisticadas e credíveis que usam fragilidades do sistema de Multibanco. As burlas são realizadas de várias formas, em compras online, p.ex. no OLX, o nome da EDP, da Electricidade da Madeira, da PSP Porto e muitas outras.

As entidades multibanco usadas pelos burlões são “entidades financeiras” autorizadas pelo Banco de Portugal desde 2017 e algumas surgem muito associadas a actividades criminosas. Os burlões registam-se nestas entidades deixando vários elementos de identificação e conseguem estar activos durante muitos anos em total impunidade e lesando milhares de cidadãos, a maioria dos quais idosos e que não chegam a apresentar queixa na Justiça. Tendo em conta que os criminosos se identificam nestas plataformas que isto ocorre desde 2017 é incompreensível como é que este crime continua a ser possível e o Banco de Portugal (BdP) e a SIBS ainda não tenham agido para travarem estas burlas.

É preciso resolver as lacunas que permitem a operação destes criminosos:

1. Se as empresas que vendem referências multibanco forem associadas a um grande surto de actividade criminosa devem ter a sua operação suspensa pela SIBS até que a sua segurança interna seja reforçada. Embora muitas destas entidades (como a 21800 com sede na Holanda) estejam a vender serviços a burlões desde 2017 continuam a operar em Portugal na rede da SIBS.

2. A SIBS (Multibanco) deve mostrar nas ATMs o nome da entidade que gera as referências e o beneficiário final do pagamento. Se a entidade estiver associada a burlas esse alerta deve surgir na ATM. É o caso das 21800, 21312, 11249, 11893, 10241, 10611, 12167 ou 11893.

3. A SIBS deveria devolver aos lesados qualquer verba que tenha cobrado como “comissão” ou “taxa de serviço”.

Algumas entidades associadas a burlas por “entidade Multibanco”
11249 HiPay CompraFácil:
venda de produtos (2016)
11893 HPME – Hi-Media Porte Monnaie Électronique, S.A.:
venda de produtos (2018)
venda de produtos (março de 2023)
10241 HiPay CompraFácil
10611 Easypay – Instituição de Pagamento, Lda.
12167 EuPago
Scam “SMS em nome da EDP” (novembro de 2022)

21800 MediaMedics_BV:
Scam “Olá pai” (março de 2023)
Scam Talão de estacionamento da PSP de Braga (agosto de 2022)
Scam Empresa de Eletricidade da Madeira (novembro de 2019)
Scam Saldo Paypal (julho de 2022)
Scam EDPCOM (junho de 2022)
Scam venda de materiais de construção (junho de 2020)
Scam vendas no OLX (vários casos em 2018)

A cada referência pode corresponder um único ou vários burlões – dependendo dos sistemas de controlo da MediaMedics 21800 – mas dada a profusão e a não repetição de referências entre as várias burlas (Electricidade da Madeira, OLX, EDP, etc) é provável que seja um pequeno grupo com várias identidades. Sublinhe-se que quando se criam estes registos a MediaMedics realiza obrigatoriamente uma reunião com Video e recolhe dados pessoais suficientes para identificar e travar a criação de novas referências a estes criminosos. Estranhamente, não o faz, nem parece disposta a fazer isto num futuro próximo:

Referências usadas por burlões:
110 257 077
131 813 882
256 207 202
380 779 516
366 183 259
387 477 632
461 530 643
480 936 052
591 064 751 usado pelo menos duas vezes
612 053 744
621 133 233
669 068 635
810 694 886
932 714 773
989 040 047

Relacionadas:

Burlas com Referências Multibanco: Acções e iniciativas já tomadas e em curso pelos CpC [continuação]
https://cidadaospelaciberseguranca.com/2023/03/29/burlas-com-referencias-multibanco-accoes-e-iniciativas-ja-tomadas-e-em-curso-pelos-cpc-continuacao/

Burlas com Referências Multibanco: Acções e iniciativas já tomadas e em curso pelos CpC
https://cidadaospelaciberseguranca.com/2023/03/16/burlas-com-referencias-multibanco-accoes-e-iniciativas-ja-tomadas-e-em-curso-pelos-cpc/

O que é a MediaMedics_BV ?
https://cidadaospelaciberseguranca.com/2023/03/14/o-que-e-a-mediamedics_bv/

Algumas entidades associadas a burlas por “entidade Multibanco”
https://cidadaospelaciberseguranca.com/2023/03/14/algumas-entidades-associadas-a-burlas-por-entidade-multibanco/

Na imprensa:
https://www.publico.pt/2023/03/24/opiniao/opiniao/multibanco-sistema-confianca-2043632
https://observador.pt/opiniao/referencias-multibanco-fraudulentas-banco-de-portugal-e-sibs-tem-que-agir/

Regulação de Criptomoedas, Democracia Participativa no Parlamento Europeu e propostas concretas para o Governo português

~ Rui Martins ~ Comentar

Em 26 de janeiro estive no Parlamento Europeu em reuniões com representantes da comissão de petições Mariana Santos e David Gil (assistente do eurodeputado Pedro Marques) e, no dia seguinte, com o eurodeputado Carlos Zorrinho (da Comissão da Indústria, da Investigação e da Energia). Abordei temas como a regulação das criptomoedas e várias propostas para travar a indústria do ransomware. Com o eurodeputado abordei também dos conceitos de democracia participativa aplicados aos PE e do voto electrónico onde – nos últimos anos – tenho desenvolvido bastante actividade.

No geral, defendi o voto electrónico no PE e em Portugal mas começando nas associações, clubes, ordens profissionais e outras instituições da sociedade civil e, depois de amplos testes e eventuais correcções e de a prática estar disseminada e tornada comum na sociedade civil sendo que acredito, conjuntamente com um grupo de amigos, que se poderia passar para eleições nacionais sendo que o piloto deveria poder ser realizado em eleições para o Parlamento Europeu (PE).

A petição que – em 2022 levei ao PE e que agora foi debatida – foi referenciada em
https://news.cision.com/pt/parlamento-europeu/r/esta-semana-no-parlamento-europeu—23-a-29-de-janeiro,c638100822790000000 e a sua gravação encontra-se em https://multimedia.europarl.europa.eu/en/webstreaming/peti-committee-meeting_20230125-0900-COMMITTEE-PETI
sendo que a análise da petição ocupa o último ponto da ordem do dia da manhã onde o Comissário respondeu a algumas das questões e observações colocadas pela petição.

Na reunião com os representantes das duas comissões tive ocasião referir o fundamental do texto:
“Daquilo que sei das iniciativas do Parlamento e do Conselho Europeu quanto à regulação das Criptomoedas estas instituições são sabedoras da matéria e os cidadãos da Europa estão em boas mãos. Talvez tenham começado com algum atraso mas agora parecem estar a recuperar algum do tempo perdido desde 2013 (a 1ª vez que a UE trabalhou este tema)
O que pretendo aqui trazer é mais uma perspectiva diferente: a de um técnico de IT, de um cidadão europeu anónimo com responsabilidades na defesa da sua organização contra a indústria do ransomware e a sua integração umbilical com as criptomoedas.
Em suma e por pontos:
1. Não existiria uma crescente “indústria de ransomware” sem criptomoedas. Cidadãos, empresas e Estados não teriam perdido muitos milhões de euros e de horas de trabalho sem a anonimidade que as criptomoedas garantem (se forem “bem” usadas).
2. A anonimidade quase total destas transacções serve os interesses dos grandes grupos criminosos e dos serviços de informações de potências inimigas. Mas mesmo que seja possível identificar o IP de origem: como seria possível que países como a Rússia ou a China entregassem os criminosos ou os agentes dos seus serviços de informações a uma qualquer investigação realizada fora do seu território? Este problema nunca será resolvido (por muita legislação que se crie). Mas é possível proibir – no espaço europeu – o pagamento de resgates: isso seria – talvez – decisivo como forma de afastar do nosso território estes bandos criminosos.
3. Apesar de correcções recentes, os níveis de valorização das criptomoedas continuam excessivos e representam um risco para a economia real. O colapso desta bolha não pode deixar de ter consequências sobre todos nós e a queda recente de algumas bolsas demonstra a fragilidade e a sua má governação desta indústria. Neste sentido: aguardamos com expectativa a materialização do MiCA em 2024 (?) e esperamos que seja rapidamente adoptado por todos os países da União d que a adopção de programas de bug hunting e de um rigoroso padrão de cibersegurança seja obrigatório.
4. Os representantes das maiores empresas europeias de seguros já avisaram: em breve não serão capazes de cobrir os riscos de ataques por ransomware (e, recordemo-nos: sem criptomoedas não pode haver ransomware). Este alerta é um efeito do crescimento deste fenómeno o que vai, necessariamente, adicionar mais um risco sistémico a toda a economia porque uma parte central da estratégia de resposta e prevenção de muitas empresas assenta, precisamente, neste tipo de seguros e nos requisitos que estes exigem às organizações que os adoptam. A este respeito, há que avaliar a obrigatoriedade deste tipo de seguros nas organizações que tenham determinada escala e facturação. Algo a reflectir.

Em conclusão:
Está bem a União Europeia ao decidir agir nesta direcção. Ao fazê-lo não está “apenas” a proteger os seus cidadãos, as suas organizações públicas e empresas: será também o clima e o planeta que sairão mais protegidos. Se o fizer não será a primeira entidade internacional a agir neste campo: uma vez que vários países já lançaram regulações (de severidade variável) mas será certamente seguida por muitos países do mundo e será a primeira vez que tal regulação se aplica a um tão grande número de países ao mesmo tempo. Aqui, como no RGPD, a Europa será o farol do mundo.
Sei bem que a União Europeia não gostaria de agir no sentido de proibir todas as transacções ou a posse de criptomoedas porque, simplesmente, não acredita que é possível impedir a inovação por decreto: e concordo com esse conceito. Mas é possível lançar a MiCA o mais rapidamente que for possível, desenvolver esta regulação – talvez seguindo as sugestões que aqui apresentei – e ter sempre em vista a ligação umbilical que existe entre ransomware e criptomoedas: para mim o ponto mais importante desta intervenção.”

Acredito que a União Europeia está bem encaminhada com o MiCA: a reacção positiva (apesar de algumas dúvidas) das entidades e dos grandes investidores em crypto-assets para com o regulamento indica que aguardam a segurança e previsibilidade que o MiCA trará a esta indústria (que já foi chamada de “o Far West das Criptomoedas). Do que vi (o regulamento é extenso e a tradução é de má qualidade: mas dizem-me que isso está a ser trabalhado). Não há dúvidas que a força do bloco europeu (28 países) e o facto de ser aqui que se transaccionam 25% de todas as cripto do mundo fará a diferença e servirá para que a UE sirva de exemplo a outros (os EUA, em particular, precisam de reformar a sua débil e confusa regulação em crypto-assets). Nestas reuniões, confirmei que o MiCA entrará em vigor em 2024 e que como o processo começou no Conselho Europeu não terá que ser aprovado nos parlamentos europeus. Não consegui saber quem foi foi dos 28 países quem votou contra o MiCA mas suspeito que foi a Hungria.

Depois destas reuniões enviei ao Ministro da Transição Digital do Governo português propostas que permitiram desenvolver os artigos previstos no regulamento europeu MiCA:
1. Proibir – em Portugal – o pagamento de resgates: isso seria – talvez – decisivo como forma de afastar do nosso território estes bandos de criminosos.
2. Exigir que as entidades que operam em Portugal (e já temos uma cryptoexchange em Portugal: (o Bison Bank) tenham programas de bug hunting e um rigoroso (e auditado do exterior) padrão de cibersegurança.
3. A mineração de criptomoedas é um seríssimo problema ambiental e de consumo de energia: Todas as organizações que se dedicarem a esta actividade em Portugal deve, compensar as suas externalidades através de uma taxa de carbono especialmente reforçada.
4. Todas estas entidades que operem em Portugal devem ter seguros contra perdas por ransomware: não somente porque estes seguros obrigam ao cumprimento de um exigente conjunto de requisitos de cibersegurança mas porque formam uma rede de protecção contra ataques bem sucedidos a estas organizações e aos crypto-assets de clientes que conservam sob o seu controlo.

Rui Martins
fundador do CpC

Em prol de um grande Exercício Nacional / Simulação de Cibersegurança

~ Rui Martins ~ Comentar

Tendo em vista a escala do investimento em atividades ofensivas no campo do ciberespaço por organizações baseadas e protegidas por países como a Rússia e a China e o contexto intensificador actual da guerra na Ucrânia é preciso criar um ambiente que prepare as organizações do Estado Central, autarquias e Infraestruturas críticas para resistirem melhor a ciberdesastres.

Assim como é preciso criar uma estrutura que permita às organizações resistir a catástrofes naturais é preciso fazer o mesmo para com ciberdesastres que ameacem diretamente a vida dos cidadãos. Com efeito, a cada dia em que o regime de Putin resiste no poder e se prolonga a guerra na Ucrânia é preciso que todos os países membros da OTAN se preparem para a eclosão de uma vaga de ataques destrutivos às Infraestruturas críticas e às redes do Estado conduzidas a partir de entidades estatais residentes, sobretudo, no território da federação russa. Seguramente que estas entidades baseadas na Rússia estão a recolher informação há bastantes meses para uma escala destes ataques sem precedentes e que – assim que estiverem preparados o farão numa escala e intensidade sem precedentes.

Para além das organizações do Estado Central os sectores financeiro e da energia e transportes devem estar especialmente preparados dado que são os alvos preferenciais destas organizações. São elas que têm assumir uma cultura de cibersegurança que esteja muito para além dos responsáveis de Tecnologia de Informação e dos especialistas em Cibersegurança. Em particular estas organizações têm que colocar como uma das suas prioridades a resiliência a um ataque deste género.

Em primeiro lugar ainda estamos a atravessar – ainda – um período de pandemia que expôe vários sectores da economia a um nível de vulnerabilidades superior ao normal: desde uma força de trabalho remota, a uma maior dependência da cadeia de fornecedores, à redução de disponibilidade e fuga para o estrangeiro de muitos profissionais de cibersegurança devido aos salários e condições de trabalho em Portugal. Em segundo lugar a “emergência COVID” levou a que em muitos serviços – públicos e em empresas privadas – fosse adoptadas soluções de contingência ou de improviso que pela sua própria natureza temporária são mais vulneráveis e frágeis do que soluções devidamente planeadas e implementadas.

Todas as organizações devem preparar-se para um ciberdesastre, exactamente assim como se devem preparar para um desastre natural ou outra ocorrência que possa ameaçar a sua sobrevivência. Em qualquer plano de resposta devem estar componentes ligados às fases de planeamento, formação, equipamento e exercícios.

Na fase de planeamento, a inventariação de assets, necessidades de segurança, riscos e consequências em caso de interrupção de serviço são fundamentais. Mas é preciso também desenvolver a quantidade e qualidade de formações online ao dispor dos colaboradores e, sobretudo, é preciso inscrever nas nossas consciências e culturas organizacionais que um ciberdesastre de larga escala é – a prazo – inevitavelmente e que no momento em que escrevo estas linhas já existem certamente APTs russos, chineses ou norte-coreanos a explorarem as nossas infraestruturas críticas, instalando software latente e criando redes de botnets que podem ativar a qualquer momento. De facto, tudo indica que um ciberdesastre de larga escala que pare, por exemplo, os transportes públicos numa grande cidade portuguesa, que interrompa o abastecimento de água, gás ou energia ao país ou a largos sectores do mesmo, será um desafio maior que alguns desastre naturais pela sua natureza técnica muito especializada, pelo elevado grau de impreparação da maioria dos serviços, pela carência radical de quadros e de especialistas em cibersegurança e pela inexistência de estruturas de apoio em quantidade e qualidade suficiente na Polícia Judiciária ou no Centro Nacional de Cibersegurança.

Assim como nos devemos preparar para o próximo – inevitável – grande terremoto em Lisboa também nos devemos preparar para uma grande ciberdesastre em Lisboa ou noutra grande cidade ou região em Portugal. E esta preparação deve passar por realizar um grande ciberexercício que envolva vários serviços e empresas, um número alargado de cidadãos numa simulação muito realista e que permita aferir o nosso grau de preparação e resistência a uma ocorrência desta natureza.

APSUS$ ou DEV-0537 – Quem são e terão sido detidos?

~ Rui Martins ~ Comentar

Um dos gangs de cibercriminosos mais activos da actualidade e que tem criado sérios danos nos países lusófonos (o SNS do Brasil e a Vodafone, Parlamento, Expresso e a SIC), Reino Unido e EUA é conhecido como LAPSUS$ ou DEV-0537.

O LAPSUS$ distingue-se de outros grupos semelhantes por se concentrar num modelo diferente da maioria: enquanto grupos como o Conti (agora desorganizado em consequência da guerra na Ucrânia) ou os Wizard Spider, Viking Spider e Lockbit – baseados na Rússia e integrando desde Julho de 2021 um “cartel” – se dedicam mais a encriptar ficheiros de alvos e a exigirem resgates em troca das chaves de encriptação o LAPSUS$ age de forma diferente: usa um modelo mais clássico de extorsão e destruição. O grupo começou por se interessar por alvos no Reino Unido e na América Latina mas, mais recentemente, expandiu a sua acção a outros países e designadamente a Portugal focando-se em sectores onde outros grupos têm preferido manter uma distância higiénica (para não chamarem demasiada atenção das autoridades) tais como o sector governamental, saúde e comunicações. Essa sua implacabilidade é, em si mesma, uma pista sobre a sua natureza podendo indicar que é composto por pessoas muito jovens, provavelmente do sexo masculino.

O grupo terá ficado activo em meados de 2021 mas o primeiro ataque foi identificado apenas em Agosto desse ano através de mensagens de SMS enviadas a utilizadores britanicos contendo a frase: “We are LAPSUS$, remember our name, we have your userdata. we have EE’s, BT and Orange source code. If EE pay us 4 millions USD in XMR before the 20th august, we will delete everything from our servers. XMRADDR: 42qLW1FIEDQKjeoSAFQRXaVpSUx B8fTYJ2Zeah8dcDTYDEjCb71iCR76 ctGMysAB4nj3MTTCE5GuJMsC1eL uwKdu7v6FKf3”. A mensagem foi enviada a 1 de Agosto a vários britânicos depois destes terem feito aquisições de aplicações no iTunes com o seu cartão de crédito. Apesar disso, os telemóveis não pareciam comprometidos mas havia indícios de que uma operadora móvel britânica tinha sido invadida. Meses depois, na madrugada em 10 de Dezembro de 2021 (um padrão nas acções deste grupo), foi a vez do Ministério da Saúde do Brasil tendo sido afectados os sistemas e-SUS Notifica, o Sistema de Informação do Programa Nacional de Imunização (SI-PNI), ConecteSUS e assim como a emissão do Certificado Nacional de Vacinação COVID-19 e da Carteira Nacional de Vacinação Digital. Em consequencia estas plataformas ficaram indisponiveis e nunca recuperaram na totalidade. No ataque ao Ministério da Saúde foi colocada uma mensagem na homepage do site, em português, com a frase:
“LAPSUS$ GROUP VOCÊ SOFREU UM RANSOMWARE
OS DADOS INTERNOS DOS SISTEMAS FORAM COPIADOS E EXCLUÍDOS. 50 TB DE DADOS ESTÁ EM NOSSAS MÃOS.
NOS CONTATE CASO QUEIRAM O RETORNO DOS DADOS.
TELEGRAM: https://<editado>/minsaudebr
E-MAIL: saudegroup@<editado>.com“
Simultaneamente, foi também alterado o registo MX o que permitiu que o grupo pudesse receber durante algum tempo todos os mails enviados para o domínio do Ministério da Saúde brasileiro. Estes ataques parecem ter explorado a técnica conhecida como “DNS Hijacking” em que um agente malicioso consegue acesso ao domínio de DNS e encaminha um tráfego para uma página sob seu controlo e com os conteúdos que deseja apresentar ao público. Neste ataque foi colocada a correr a informação de que o LAPSUS$ seria formado essencialmente por colombianos e um espanhol mas a fonte desta informação nunca foi localizada e poderia ter sido lançada pelos membros do grupo para despistarem os investigadores. Que o grupo tinha membros brasileiros parece ter sido confirmado pela referência recente a um “jovem brasileiro de 16 anos” e ao texto que apareceu associado a este ataque que usava a versão brasileira do português assim como a natureza dos seus primeiros alvos: “Vamos explicar algumas coisas: o nosso único objetivo é obter dinheiro, não ligamos para a família Bolsonaro (vulgo Bolsofakenews) de m**”, escreveu o grupo durante os ataques, iniciados no passado dia 10 de dezembro, em resposta a uma primeira reação das autoridades policiais brasileiras sobre alegadas motivações políticas do Lapsus$ Group. Com efeito, o ataque teve um componente de intervenção política porque surgiu no contexto dos protestos contra uma “passaporte de vacinação” para quem visitasse o Brasil a partir do estrangeiro e isso reforça a ideia de que o grupo tem membros influentes no Brasil o que afasta a tese de que “é composto por colombianos e um espanhol”. No ataque à portuguesa Vodafone (empresa originária do Reino Unido) a linguagem utilizada também dava a entender a origem brasileira do ataque com a publicação no Telegram da mensagem: “O que devemos “vazar” primeiro”? Os dados da Impresa, os dados da Vodafone ou os de uma operadora telefónica, a T-Mobile?”.

Os primeiros ataques, a natureza política do ataque no Brasil indicam que o grupo é composto por britânicos e integra brasileiros e, de facto, a 25 de março estes indícios foram confirmados. A política britânica na manhã deste dia deteve sete pessoas com idades entre os 16 e os 21 que seriam o “ramo britânico” do LAPSUS$. Os indivíduos residiam em Oxford e seriam comandados por um adolescente de 16 anos que usava os nomes de “White” e “Breachbase” que terá sido identificado por hackers rivais quando perdeu o controlo do Doxbin: um site de procura e divulgação de informações pessoais de “pessoas de interesse”. O fundador deste site, um certo de “nachash” (serpente em hebraico) poderia ser “White” (embora dada a sua idade possa ser um dos outros sete detidos). O site continha números de segurança social, informação bancária e de cartões de crédito foi um dos alvos da operação policial multinacional “Onymous” de 2014.

Segundo site TechCrunch quando renunciou ao controlo do Doxbin publicou todos os dados no site no Telegram o que levou alguns rivais que constavam desta publicação a divulgarem dados pessoais sobe o próprio “White”/”nachash” como o endereço postal e fotografias nas redes sociais e terão sido estes dados que colocaram a polícia de Londres no seu encalce levando à sua detenção e à dos restantes seis membros do grupo.

Para saber mais:
https://unit42.paloaltonetworks.com/lapsus-group/
https://community.ee.co.uk/t5/Online-safety/Lapsus-Text/td-p/1067036/page/2
https://www.aa.com.tr/en/americas/brazil-hackers-take-down-ministry-of-health-website/2444317
https://economia.uol.com.br/noticias/reuters/2021/12/10/sistema-do-ministerio-da-saude-e-atacado-por-hackers.htm?cmpid=copiaecola
https://www.zdnet.com/article/who-are-lapsus-and-what-do-they-want/
https://tek.sapo.pt/noticias/computadores/artigos/hackers-do-lapsus-group-ameacam-divulgar-dados-da-impresa-e-da-vodafone-na-internet
https://en.m.wikipedia.org/wiki/Doxbin
https://techcrunch.com/2022/03/24/london-police-lapsus-arrests/

CpC – Cidadãos pela Cibersegurança

Criptomoedas: Estamos no ponto?

~ Rui Martins ~ Comentar

Chegámos ao ponto em que os Estados têm que tomar uma decisão sobre o que fazer quanto às criptomoedas. O aumento explosivo do ransomware em 2021 com uns estimados 102.3 milhões de dólares anuais e mais de 60 variantes diferentes (com as variantes REvil/Sodinokibi, Conti, DarkSide, Avaddon, e Phobos em especial destaque) a dependência estabelecida e necessária entre as criptomoedas, e especialmente a Bitcoin e o cada vez mais amplo leque de alvos desde particulares, hospitais, escolas, esquadras de polícia, autarquias e empresas deveria estar a colocar sobre a mesa dos decisores políticos a necessidade de regular as criptomoedas.

Recentemente, Espanha lançou uma série de regulações sobre o aumento exponencial da publicidade a criptomoedas usando redes sociais, influenciadores e entregando ao regulador do mercado de capitais a competência de autorizar este tipo de campanhas e garantir de que os consumidores têm plena consciência dos riscos.

Por outro lado, e num contexto em que a resposta às alterações climáticas induzidas pela actividade humana se torna cada vez num imperativo urgente e directamente relacionada com a sobrevivência da civilização tal como a conhecemos é preciso que Portugal e a União Europeia se movam rapidamente no sentido de proibir a prática de mineração de criptomoedas e que a entrevista recente do vice-presidente da European Securities and Markets Authority (ESMA) Erik Thedéen onde este pediu um bloqueio a nível europeu desta actividade devido ao seu impacto no consumo energético. Com efeito o cumprimento dos objectivos de Paris, o facto de actualmente 0,6% de toda a energia global ser destinada para esta atividade improdutiva. Pode parecer pouco… mas não é. Só a mineração de Bitcoins (a criptomoeda mais popular) consome tanta energia como a Tailândia, já excede o total de emissões de toda a indústria extractiva de ouro e emite um total estimado de 90 megatoneladas de CO2 anuais (numa subida a partir de 22 em 2019).

Nos começos de Janeiro de 2022, o Kosovo já baniu a mineração de criptomoedas no seu país como forma de reagir à mais grave crise energética da última década. É preciso que a Europa passe das palavras e acção e tome medidas no sentido de proibir a mineração de criptomoedas no espaço europeu.

Por uma estratégia nacional e europeia de prevenção e combate ao ramsonware

~ Rui Martins ~ Comentar

Defendo que deve ser criada Legislação Europeia e na República Portuguesa que determine que o Cibercrime é uma forma de criminalidade transnacional. O facto de se tratar de uma realidade muito móvel e altamente tecnológica e especializada tem permitido que isto aconteça assim como uma certa lentidão por parte das autoridades nacionais e internacionais na reacção a esta nova realidade: muito complexa e rápida. Apesar disso, a escala do problema (8 biliões de USDs em 2018, 11.5 em 2019 e 20 em 2021), o aumento do mesmo (600% no último ano) e a dependência crescente da Internet por parte das organizações cria cada vez mais vulnerabilidades e torna mandatório que se crie um quadro legal mandatório que determine um conjunto de protecções e defesas que protejam os indivíduos, as organizações e os Estados europeus contra esta ameaça cada vez maior, cada vez mais grave.

É assim preciso criar legislação europeia que:
1. Determine que todas as organizações: independentemente da sua escala tenham que ter um orçamento anual para cibersegurança.
2. Que o Centro Nacional de Segurança
3a. Cumpra o CPA designadamente os prazos de resposta
3b. Possua equipas de cibersegurança que façam auditorias surpresa a empresas nacionais acima de um certo volume de facturação e
3c. As equipas do CNS possam assistir na resolução de cada incidente sendo chamadas obrigatoriamente podendo ter ou não um papel activo ou consultivo consoante a organização tenha equipas de cibersegurança à altura da ocorrência
4. Que Portugal e a Europa tenham políticas de sancionamento contra os Estados que permitem que os grupos de hackers actuem impunemente nas suas fronteiras
5. Que se faça, a nível europeu e nacional, uma avaliação da utilidade económica das criptomoedas e se esta avaliação concluir que não têm valor para a economia real mas apenas como produto especulativo e ferramenta para uso por cibercriminosos e traficantes de droga o seu uso, mineração, posse e manipulação deve ser proibido em Portugal e no espaço europeu e que Portugal tome a dianteira e proíba a mineração de criptomoedas no seu território
6. Que todas as despesas relacionadas com cibersegurança tenham IVA mínimo
7. Que seja proibido o pagamento de resgates por ransomware
8. Que todas as organizações nacionais acima de um certo volume de facturação:
a. tenham nos acessos remotos (VPN e Internet) aos seus recursos formas de autenticação por duplo factor
b. realizem testes de penetração (pentests) anuais
c. que existam seguros contra os impactos de ransomware na actividade da organização
d. backups offline, uma equipa especializada de cibersegurança
e. tenham um plano de formação online dedicado à cibersegurança com aprovação obrigatória por parte de todos os seus colaboradores.

Enviada em forma de petição ao Parlamento Europeu.

Rui Martins