A origem da perturbação que deixou milhares de clientes com dificuldades no acesso à Internet, às comunicações móveis e à televisão continua sem uma explicação técnica definitiva. A MEO afirma ter sido alvo de um "ataque em massa", enquanto dados públicos mostram anomalias no encaminhamento do tráfego. As duas situações podem estar relacionadas, mas essa ligação ainda não foi demonstrada.

O que aconteceu?

A instabilidade começou durante a noite de 13 para 14 de Setembro e voltou a intensificar-se na tarde de segunda-feira. Clientes de várias zonas do país, incluindo a Madeira, relataram cortes sucessivos na Internet fixa, dificuldades na utilização dos dados móveis e falhas no serviço de televisão.

O Downdetector registou um pico superior a sete mil queixas relacionadas com a MEO. Também surgiram relatos associados à NOS, Vodafone e DIGI, embora em números bastante inferiores. Estes registos não representam a totalidade dos clientes afectados, mas apenas as pessoas que comunicaram a falha naquela plataforma.

Qual é a versão da MEO?

A operadora confirmou ter sido alvo de um «ataque em massa» que provocou "congestionamento e degradação da rede internacional". Garantiu ter activado medidas de mitigação e recuperação que permitiram restabelecer progressivamente a estabilidade dos serviços.

A empresa assegurou igualmente que não houve qualquer intrusão nos seus sistemas nem acesso aos dados da MEO ou dos clientes. Uma interrupção na disponibilidade dos serviços não significa necessariamente que os sistemas tenham sido invadidos.

O que significa ataque em massa?

A expressão utilizada pela operadora é genérica e não identifica o método usado. A descrição de um congestionamento da rede internacional é compatível com um ataque distribuído de negação de serviço, conhecido pela sigla DDoS.

Num ataque deste tipo, milhares de equipamentos podem enviar pedidos ou grandes volumes de informação em simultâneo para uma rede. O objectivo é ultrapassar a capacidade disponível e impedir que os utilizadores legítimos consigam aceder aos serviços. A MEO, contudo, não confirmou que tenha enfrentado um DDoS nem revelou o volume ou a origem do tráfego detectado.

Porque surgiu a hipótese de uma falha de BGP?

Durante o período da perturbação foram detectadas anomalias nos anúncios de rotas utilizados pela Internet. O BGP é o protocolo através do qual as diferentes redes comunicam entre si e indicam os caminhos que o tráfego deve seguir para chegar ao destino.

Uma falha neste sistema pode encaminhar a informação por trajectos errados, mais demorados ou sem capacidade para receber o volume de tráfego. Pode resultar de um erro de configuração, de uma avaria ou de uma acção deliberada. Não significa, por si só, que tenha existido uma invasão dos sistemas.

O que é uma fuga de rotas?

Uma route leak, ou fuga de rotas, ocorre quando uma rede anuncia caminhos para além daqueles que deveria divulgar. Outras redes podem aceitar essa informação e começar a enviar tráfego por um percurso inadequado. Dependendo das rotas envolvidas e da extensão da propagação, o resultado pode variar entre uma degradação quase imperceptível e uma falha de grande dimensão.

A Cloudflare detectou dois episódios deste género durante a janela temporal do apagão. Ambos envolveram a Ghana Telecommunications, identificada como a rede responsável pela fuga, e a MEO como uma das redes que recebeu e propagou os anúncios.

Foi a operadora do Gana que provocou o apagão?

Os dados disponíveis não permitem essa conclusão. Num dos episódios estavam envolvidos seis prefixos associados à Vodafone e, no outro, cinco prefixos da Angola Cables. A MEO surge como destinatária das rotas classificadas como indevidamente propagadas.

Isso não prova que os endereços da MEO tenham sido desviados ou sequestrados. Também não demonstra que aquelas onze rotas fossem suficientes para provocar uma interrupção de alcance nacional. A coincidência temporal torna os episódios relevantes para a investigação, mas não estabelece uma relação de causa e efeito.

O aumento de anúncios feitos pela MEO prova uma falha interna?

Não. Uma alteração anormal na quantidade de rotas anunciadas pode ser um sinal de instabilidade, reconfiguração ou resposta a um incidente. Para perceber o impacto seria necessário identificar quais as rotas modificadas, a importância do tráfego que transportavam e durante quanto tempo permaneceram activas.

Os dados públicos permitem observar apenas parte do funcionamento da rede. Os sistemas utilizados para recolher informação sobre rotas não recebem necessariamente todos os anúncios que circulam na Internet. A ausência de uma anomalia visível também não prova que ela não tenha acontecido.

As fugas de rotas e o ataque podem ter ocorrido ao mesmo tempo?

Sim. As hipóteses não são necessariamente incompatíveis. Um ataque volumétrico pode levar uma operadora a alterar rotas para filtrar, desviar ou absorver o tráfego malicioso. Também é possível que uma falha de encaminhamento agrave os efeitos de um ataque ou que os dois acontecimentos não tenham qualquer relação.

Sem acesso aos registos internos da MEO não é possível determinar a sequência. É necessário saber se as alterações de BGP ocorreram antes do início da falha, como consequência das medidas de defesa ou de forma independente.

Porque é que mudar o DNS resolveu o problema de alguns clientes?

Vários utilizadores afirmaram ter recuperado o acesso depois de substituírem os servidores DNS da MEO por serviços públicos. O DNS funciona como uma lista telefónica da Internet: transforma o nome de um site no endereço numérico necessário para estabelecer a ligação.

Estes relatos sugerem que os servidores de resolução de nomes da operadora poderão ter sofrido uma degradação. Isso não significa que o DNS tenha estado na origem de toda a perturbação. Pode ter sido apenas um dos serviços atingidos ou um elemento que ampliou o impacto sentido pelos clientes.

Os dados dos clientes estiveram em risco?

Até ao momento não existe indicação de que tenha ocorrido roubo, alteração ou exposição de dados pessoais. A MEO garante que não houve intrusão nem acesso à informação da empresa e dos utilizadores.

Um ataque destinado a congestionar uma rede tem um objectivo diferente de uma intrusão informática. Procura impedir o funcionamento dos serviços, não necessariamente entrar nos sistemas ou retirar informação. A confirmação independente, porém, dependerá das conclusões da investigação técnica.

Porque demorou a surgir uma explicação?

Durante grande parte do incidente, os clientes não encontraram alertas actualizados nas páginas de ocorrências das operadoras. Muitos recorreram ao Downdetector, às redes sociais e a fóruns para perceber se enfrentavam uma avaria individual ou uma falha generalizada.

A declaração da MEO foi divulgada através da agência Lusa às 22h58 do dia 14. O Centro Nacional de Cibersegurança, o CERT.PT e a ANACOM também não divulgaram, durante o período mais crítico, informação pública capaz de esclarecer a dimensão e o acompanhamento do incidente.

O que continua por saber?

A operadora não indicou as horas exactas de início e reposição total dos serviços, o volume de tráfego envolvido, os vectores usados, a origem observada ou o número de clientes afectados. Também não esclareceu publicamente se o incidente foi notificado ao Centro Nacional de Cibersegurança e à ANACOM.

Falta ainda determinar se as anomalias de BGP tiveram impacto real, se a alteração dos servidores DNS resolveu efectivamente parte significativa das falhas e se o congestionamento resultou apenas de um ataque ou de vários problemas simultâneos.

Que obrigações legais têm as operadoras?

Os fornecedores de redes públicas de comunicações electrónicas são considerados entidades essenciais ao abrigo do Regime Jurídico da Cibersegurança. Um incidente significativo deve ser comunicado ao Centro Nacional de Cibersegurança através de um alerta precoce no prazo de 24 horas, de uma notificação mais completa em 72 horas e de um relatório final no prazo de um mês.

A existência destes deveres não permite concluir que a MEO tenha incumprido a lei. As notificações são dirigidas às autoridades e não são necessariamente públicas. A legislação também não estabelece uma obrigação geral de informar os clientes em tempo real durante todas as fases de uma falha.

O que poderia ter sido feito durante o apagão?

A página de ocorrências deveria ter sido actualizada logo que a dimensão do problema se tornou evidente. A informação poderia ter sido replicada através de SMS, aplicações, redes sociais e mensagens gravadas nas linhas de atendimento.

Não seria necessário revelar dados técnicos sensíveis. Bastaria confirmar a existência da perturbação, indicar os serviços e zonas afectados e assegurar actualizações regulares. As autoridades também poderiam ter informado que estavam a acompanhar a situação e em contacto com a operadora.

Qual é, então, a conclusão possível?

A MEO confirma um ataque que provocou congestionamento e degradação da rede internacional. Os dados públicos confirmam igualmente a existência de duas fugas de rotas que envolveram a operadora. O que não está demonstrado é que essas anomalias tenham causado o apagão.

A explicação do ataque permanece como versão oficial e é compatível com parte das observações conhecidas. A hipótese de uma falha de BGP continua em aberto, mas carece de prova. A resposta definitiva está nos registos técnicos que permanecem na posse da MEO.