Entre quinta-feira, 12 de Novembro, e sexta, dia 13, o Microsoft 365 sofreu a interrupção mais longa da sua história. As falhas registadas afectaram o acesso de centenas de milhares a milhões de utilizadores em todo o mundo ao serviço de correio electrónico Outlook ou ao Teams, entre outros.

Foi na tarde de quinta-feira que foram detectados problemas de acesso aos diferentes serviços da Microsoft 365, numa falha generalizada e global, que durou mais de 24 horas. A empresa afastou o cenário de ciberataque, explicando o problema com uma actualização da capacidade da rede. Afinal, o que aconteceu na tarde de quinta-feira a uma das maiores empresas cibernéticas a nível mundial?

Segundo a Microsoft, o problema começou às 16h17 de quinta-feira no Exchange Online, a plataforma que gere o correio electrónico e os calendários na nuvem. A partir das 18 horas o impacto tornou-se generalizado na Europa e foi nessa altura que a maioria dos utilizadores portugueses deu pelo problema.

Foram afectados o Outlook, o Exchange Online, o SharePoint, o Copilot e várias ferramentas de segurança e administração. As mensagens e chamadas do Teams funcionaram em grande parte, mas os calendários e o agendamento deixaram de funcionar porque dependem do Outlook.

A multinacional explicou que um grande número de servidores começou a falhar as verificações automáticas de saúde e foi retirado de serviço, sobrecarregando os restantes. Os servidores que regressavam ao serviço voltavam a deixar de responder assim que recebiam tráfego.

Na manhã de sexta-feira, a Microsoft alargou para 48 horas o prazo de retenção do correio em fila, para evitar a perda de mensagens. Na tarde de sexta-feira, afirmou que se tratou de um problema técnico e não de um ciberataque nem um produto de inteligência artificial ou de agentes de IA descontolados. Terá sido um problema provocado por uma falha introduzida numa actualização anterior da capacidade de rede, que se manifestou depois de uma alteração de rede recente.

A reposição completa só foi concluída na madrugada de sábado. Até agora, dia 14 de Novembro, o prometido relatório pós-incidente, com a causa raiz detalhada, ainda não foi publicado. Segundo uma estimativa da própria Microsoft, de Janeiro deste ano, serão mais de 450 milhões as subscrições comerciais pagas, que usam as aplicações 365.

Impactos do apagão

A escala do incidente foi global. O Downdetector registou mais de 7,4 milhões de queixas em 74 países e territórios. A Reuters noticiou perturbações em organismos públicos dos Estados Unidos, da Austrália e do Japão. No Reino Unido, o Serviço Nacional de Saúde recorreu a sistemas alternativos e a registos em papel. A Euronext, que gere a bolsa de Lisboa, teve perturbações no correio eletrónico. A agência de notação Morningstar DBRS estima que os pagamentos de seguros a nível mundial fiquem entre 300 e 500 milhões de dólares.

Em Portugal, o Governo reconheceu que a falha condicionou a generalidade dos serviços da Administração Pública. Em comunicado, a Secretaria-Geral do Governo confirmou que, desde quinta-feira, a utilização das ferramentas Microsoft 365, “utilizada pela generalidade dos serviços da Administração Pública e do próprio Governo”, estava condicionada. Membros do Governo ficaram sem acesso ao Outlook e foram afectadas entidades sob tutela do Ministério da Saúde, embora a falha não tenha tido impacto na actividade assistencial dos hospitais.

A CpC – Inciativa Cidadãos Pela Cibersegurança estima que, só no período entre as 18 horas de quinta-feira e as 14 horas de sexta, a perda de produção para a economia portuguesa se situe entre 25 e 180 milhões de euros, com um cenário central na ordem dos 75 milhões de euros, dos quais apenas uma parte poderá ser recuperada.

Outro factor é a perda efectiva de produtividade nas organizações expostas, que a CpC estimou situar-se entre 10% e 35%, com 20% no cenário central. Ficou indisponível o correio electrónico, os calendários e parte dos ficheiros partilhados, mas as aplicações do Office instaladas nos computadores e grande parte das mensagens do Teams continuaram a funcionar.

Num levantamento anterior a este ‘apagão’ da Microsoft, com 250 contratos públicos e 206 entidades, a CpC identificou exposição directa ou provável ao Microsoft 365 em 91% delas, incluindo 17 entidades de saúde, bem como o Serviço Regional de Protecção Civil da Região Autónoma da Madeira. Assim, alerta a CpC, que este episódio revela que a dependência do Estado e de muitas autarquias de um único fornecedor "é um risco grave que deve ser devidamente ponderado e mitigado”.

Usando os dados públicos (registo MX dos DNS domains) a CpC apurou que, actualmente, de 308 municípios portugueses 187 usam Microsoft 365 (60,3%), dentro dos 201 organismo do Estado 156 utilizam (77,6%), e dos 95 hospitais analisados 86 dependiam do Microsoft 365 (90,5%).

A CpC não defende o abandono de qualquer fornecedor em particular, mas sim que nenhuma função essencial do Estado fique sem alternativa quando um fornecedor falha. O incidente foi um erro técnico, mas o efeito prático de um ataque bem-sucedido, ou de uma decisão política tomada fora da União Europeia, seria semelhante.

Reflexões após o incidente

Também Henrique Domingos, professor e investigador do NOVA LINCS / Nova FCT, pede uma reflexão sobre a vulnerabilidade de se depender de um único fornecedor. A redução da diversidade dos serviços de Internet “através da concentração de serviços nas mãos de poucos fornecedores globais de serviços online é uma questão que merece reflexão”, pondera.

Refere que o que as grandes tecnológicas estão a fazer, “com a complacência de todos”, é colocar “todos os ovos no mesmo cesto e maximizar o lucro em detrimento da confiabilidade". "Concentração e centralização de poder não casa bem com as propriedades de ciberseguranca e ciberresiliência onde a diversidade, redundância e descentralização são palavras associadas a propriedades chave", remata Henrique Domingos.

Já Eusebio Nieva, director técnico Check Point Software para Espanha e Portugal, citado pela Efe, sublinhou que a falha na Microsoft soma-se a outros incidentes ocorridos nos últimos meses e alerta que isso abre portas para ciberataques através de falsas mensagens de suporte técnico, 'links' de recuperação e fraudes em pagamentos.

“Criamos uma monocultura digital”, afirma Nieva, destacando que um número excessivo de empresas depende do mesmo grupo restrito de fornecedores para serviços de e-mail e verificação de acesso. Quando ambos falham simultaneamente, perde-se o acesso a serviços que parecem independentes, “enquanto os criminosos aproveitam a confusão”.

Leonid Bezvershenko, investigador sénior de segurança da Kaspersky GReAT, adverte que a a interrupção dos serviços Microsoft 365 afectou as ferramentas de trabalho e “criou um cenário de confusão e urgência que os burlões rapidamente procuram explorar”. Isto porque “quando os canais de comunicação habituais deixam de funcionar, é muito mais provável que colaboradores e clientes confiem em mensagens que parecem oferecer actualizações, soluções alternativas ou uma forma rápida de recuperar o acesso”.