Senador dos EUA Wyden implica a Microsoft como ameaça à segurança nacional

EUA O senador Ron Wyden endereçou recentemente uma carta ao presidente da FTC, onde classificou a Microsoft como uma ameaça à segurança nacional devido ao que ele descreve como “grossa negligência de cibersegurança.” 

Na carta, Wyden pediu uma investigação sobre o papel da Microsoft em vários incidentes de cibersegurança de alto perfil, afirmando que as práticas da empresa colocaram em risco a infraestrutura crítica e a segurança nacional dos EUA.

Wyden acusa a Microsoft

Na carta de 10 de setembro ao presidente da FTC, Andrew Ferguson, Wyden alegou que a "negligência cibernética grave" do gigante tecnológico levou a ataques de ransomware contra infraestrutura crítica, incluindo organizações de saúde dos EUA, pelo menos em parte devido a configurações padrão no sistema operacional Windows.

Wyden comparou a Microsoft a um “incendiário que vende serviços de combate a incêndios às suas vítimas”, e, segundo ele, agências governamentais e outras empresas “não têm escolha” senão usar os produtos da empresa porque ela tem “quase monopólio sobre TI empresarial.”

Wyden citou o ataque de ransomware de maio de 2024 ao operador de hospitais Ascension como um exemplo principal.

Esse caso, de acordo com a empresa, expôs dados médicos e de seguros privados de quase 5,6 milhões de pessoas. Ele escreveu que o operador do hospital havia informado sua equipe que um contratante em um laptop da Ascension clicou em um link malicioso fornecido pelo mecanismo de busca Bing da Microsoft.

Wyden afirma que o suporte da Microsoft a tecnologia de criptografia desatualizada e configurações padrão levou à exploração da Ascension. Ele também disse que a empresa ainda não educou adequadamente as empresas sobre como mitigar a ameaça.

Um porta-voz da Microsoft confirmou na quarta-feira que o RC4, o padrão de criptografia mencionado por Wyden, é de fato antigo, mas representa “menos de 0,1%” do tráfego da empresa, e ela desencoraja os clientes a usá-lo.

“No entanto, desativar completamente o seu uso quebraria muitos sistemas de clientes”, disse o porta-voz, e a empresa está reduzindo gradualmente a extensão em que os clientes podem usá-lo, ao mesmo tempo em que tenta fornecer avisos e orientações.

O RC4 será desativado por padrão em certos produtos do Windows a partir do primeiro trimestre de 2026, e a empresa disse que incluirá “mitigações adicionais” para implantações existentes.

Wyden exigiu uma revisão das práticas de cibersegurança do sistema judicial

A movimentação de Wyden contra a Microsoft ocorre pouco depois de ele ter instado o Chefe de Justiça John Roberts a iniciar uma revisão abrangente das práticas de cibersegurança do sistema judicial federal.

Seu pedido veio após um grande hack do sistema eletrônico de gestão de casos, marcando a segunda grande violação em cinco anos.

A última violação foi registrada em junho deste ano e levou os tribunais a finalmente anunciar a implementação da autenticação multifator, uma medida de segurança básica que já é padrão em agências do poder executivo desde 2015.

No que diz respeito a Wyden, a negligência na cibersegurança dos tribunais representa sérios riscos à segurança nacional, pois informações sensíveis relacionadas a investigações em andamento e testemunhas federais podem ser exploradas por adversários estrangeiros.

Documentos judiciais sigilosos localizados no sistema de gestão de casos frequentemente incluem informações extremamente sensíveis sobre fontes e métodos de segurança nacional, os nomes de testemunhas federais chave ou detalhes de investigações em andamento.

Tais informações nas mãos de adversários estrangeiros ou cartéis criminosos podem ser altamente prejudiciais à segurança dos americanos. Isso não ajuda o fato de que o New York Times relatou que “documentos relacionados a atividades criminosas com ligações no exterior” foram o alvo do hack mais recente.