A IBM está no centro de uma forte polémica após a divulgação de um processo judicial avançado por um antigo executivo de cibersegurança da própria empresa. O queixoso acusa a tecnológica de ter sofrido pelo menos três intrusões graves na sua rede ao longo da última década, levadas a cabo por governos estrangeiros, optando posteriormente por encobrir os incidentes em vez de os reportar às autoridades competentes.
De acordo com as informações detalhadas no artigo do Bloomberg, a ação judicial foi submetida em 2020 por William Barlow, antigo vice-presidente de inteligência de ameaças da IBM até agosto de 2019. O documento permaneceu sob segredo de justiça, tendo sido levantado apenas muito recentemente. Barlow alega que a infraestrutura central da empresa era invadida de forma rotineira por atores estatais, resultando no roubo frequente de dados sem que nenhuma agência governamental fosse notificada.
Campanhas de espionagem e falhas na segurança
O caso ganha uma relevância acrescida pelo facto de a IBM ser uma das principais fornecedoras de serviços de cibersegurança do governo dos EUA. A queixa aponta que, entre 2013 e 2016, a rede partilhada com a operadora AT&T foi alvo do grupo APT 10, uma organização de piratas informáticos com ligações conhecidas ao governo chinês.
Em março de 2017, os serviços de inteligência da aliança Five Eyes — que junta os EUA, Reino Unido, Austrália, Canadá e Nova Zelândia — emitiram um aviso à IBM sobre a situação. Uma investigação interna subsequente concluiu que o grupo APT 10 realizou potencialmente mais de 56 mil acessos não autorizados. O relatório interno apurou o comprometimento de quatro servidores centrais, afetando perto de 400 contas e 200 sistemas em todas as unidades de negócio da multinacional, abrangendo 18 países.
Contudo, a IBM terá decidido não divulgar o ataque. Segundo Barlow, a análise detalhada foi interrompida porque a própria empresa não mantinha registos de acessos à rede, violando práticas básicas de proteção informática. Jason Brown, advogado do queixoso, sublinhou que a situação é incompatível com o modelo de negócio da tecnológica, afirmando que não é admissível vender soluções de segurança ao Estado quando existem falhas graves desta natureza a nível interno.
Subsidiárias vulneráveis e a reação da empresa
As acusações estendem-se também à gestão de empresas adquiridas pela gigante tecnológica. Barlow afirma que pelo menos duas subsidiárias foram comprometidas sem o devido esclarecimento público. É o caso da Trusteer, focada em segurança digital e comprada em 2013, que sofreu um ataque em 2018, e da Truven, uma startup de dados de saúde adquirida em 2016, alvo de múltiplos incidentes após a integração na empresa-mãe.
Confrontada com o teor do processo, a porta-voz da IBM, Miki Carver, recusou responder a perguntas diretas sobre o encobrimento dos incidentes. Em declarações prestadas ao TechCrunch, a responsável limitou-se a desvalorizar a antiguidade da queixa, recordando que o Departamento de Justiça norte-americano optou por não intervir no caso e garantindo que todas as decisões da companhia respeitaram os parâmetros legais em vigor na altura.
Nenhum comentário
Seja o primeiro!