Cibersegurança e eleições: como proteger a democracia?

Quase metade da população mundial – cerca de 4 mil milhões de pessoas – vai às urnas em 2024. As eleições na União Europeia (UE) e nos Estados Unidos da América (EUA) estão no centro das atenções, mas países como o Reino Unido, Portugal, Rússia, Índia e Bélgica também organizam eleições nacionais ou regionais.

Uma vez que a tecnologia e a política andam de mãos dadas, é natural que os especialistas em cibersegurança tenham muito que falar este ano. Qual é o risco de interferência cibernética nas eleições de cada um destes países? O que pode ser feito para evitar tais ameaças? Vamos analisar o que está realmente em causa.

Interferência cibernética em eleições: um risco real?

É um facto que as atividades cibernéticas com impacto em eleições aumentaram em todo o mundo na última década. A tabela que se segue, parte integrante do Compêndio sobre Cibersegurança e Resiliência das Eleições da Agência da União Europeia para a Cibersegurança (ENISA), apresenta alguns exemplos recentes de eleições afetadas por ciberataques:

Então, o que está realmente em jogo em eleições futuras? Teoricamente, os ciberataques – com motivações políticas ou financeiras – podem ir desde a adulteração de atividades diárias ou de infraestruturas das campanhas políticas, até à interferência com bases de dados de recenseamento eleitoral ou mesmo com os próprios votos (se submetidos eletronicamente).

Um estudo recente prevê que os 10 países com maior risco de interferência cibernética nas eleições sejam os EUA, o Reino Unido, a Coreia do Sul, a Índia, a Bélgica, o Paquistão, a Bielorrússia, o México, a Geórgia e a Indonésia. De um modo geral, conclui-se que 31% dos países examinados enfrentem fortes ameaças de interferência. Além disso, 27% enfrentam grupos adversários ligados a países com histórico de interferência cibernética, incluindo a Rússia, a China, o Irão e a Coreia do Norte.

A boa notícia é que as autoridades de cibersegurança estão mais preparadas do que nunca para lidar com essas ameaças e neutralizá-las antecipadamente. Aliás, as autoridades americanas responsáveis pela proteção das eleições deste ano afirmam que “serão as eleições mais seguras até à data” – palavras do General Paul Nakasone, diretor da Agência de Segurança Nacional (NSA) dos Estados Unidos.

Na UE, como demonstra o Compêndio sobre Cibersegurança e Resiliência nas Eleições, a ENISA e outros grupos de trabalho de cibersegurança estão também a fazer a sua parte.

Que ciberataques poderão surgir?

De acordo com o especialista em cibersegurança da Alter Solutions Raphaël Cossec, “as infraestruturas de eleições políticas enfrentarão as habituais ameaças de cibersegurança que todas as infraestruturas de IT enfrentam, como ataques de Denial of Service (DoS), ameaças internas, engenharia social, phishing, entre outros, para conduzir à fuga de dados, espalhar ransomware ou alcançar web defacement”.

No entanto, prevê, “o objetivo dos ataques será um pouco diferente, uma vez que o foco será minar a confiança dada a um candidato ou a confiança na própria infraestrutura de votação, o que é ainda mais provável com o crescimento do voto remoto. Isto pode levar a um desinteresse crescente pela política, favorecendo normalmente alguns partidos mais do que outros”.

Além das ameaças mais comuns já mencionadas, Raphaël aponta algumas outras ameaças potenciadas por técnicas de Inteligência Artificial (IA), que podem ser utilizadas para influenciar eleições:

• Deepfakes
  “O uso de deepfakes pode minar a confiança num candidato, levando-o a dizer ou a fazer algo que não tencionava.”
  
  
• Manipulação de Informações e Ingerências por parte de Agentes Estrangeiros (FIMI)
  “Atores estrangeiros que se envolvem em tentativas intencionais de manipulação de factos.”
  
  
• Desinformação nas redes sociais
  “O uso de redes sociais para modificar a impressão que as pessoas têm de um candidato ou de um partido político.”
  
  
• Roubo de identidade
  “Utilizar a identidade de outra pessoa, incluindo de pessoas mortas, através de técnicas melhoradas por IA, com o objetivo de aumentar o número de votos num candidato.”

Vamos aprofundar um pouco mais o papel da IA no contexto das eleições políticas.

IA: uma arma de ataque e de defesa

A Inteligência Artificial será uma peça fundamental em eleições futuras, tanto do lado defensivo (políticos, partidos e ecossistema relacionado) como do lado ofensivo (hackers e outros agentes maliciosos).

Como pode a IA ser utilizada para prejudicar eleições?

• Lançar ataques de engenharia social sofisticados e mais eficazes.
  
• Ataques de envenenamento por IA (manipulação de conjuntos de dados e violações de dados).
  
• Escapar de antivírus e outras ferramentas de proteção.
  
• Aumentar o número de mutações em ataques maliciosos para que se tornem muito mais difíceis de detetar ou analisar (morphing malwares).
  
• Conteúdo falso gerado por IA (imagens, vídeos, textos ou sons gerados por IA podem ser utilizados para difundir informações falsas e influenciar a opinião pública).

Como pode a IA ser utilizada para combater essas ameaças?

• Aperfeiçoamento de deteção e resposta a ciberameaças.
  
• Proteção de dados sensíveis.
  
• Melhoria da participação dos eleitores (com a ajuda de assistentes virtuais que podem esclarecer questões e fornecer informações sobre partidos ou candidatos).
  
• Análise de dados (os algoritmos de IA podem analisar grandes volumes de dados, identificar tendências de votação, etc.).
  
• Deteção mais fácil de conteúdos falsos gerados por IA.

Digamos que combater fogo com fogo – ou combater IA com IA – parece ser o único caminho a seguir.

Como manter eleições seguras?

A forma mais segura de votar é em papel – não há dúvidas quanto a isso. De facto, este continua a ser o método de votação preferencial na Europa, no Reino Unido e nos EUA. No entanto, isso não é suficiente para manter eleições seguras, porque enquanto o processo de votação e as infraestruturas forem alvos de ciberameaças, os riscos continuam a existir.

É por isso que várias equipas operacionais de segurança e investigadores se reúnem regularmente para discutir o atual panorama de ameaças e definir o que pode ser feito para prevenir ou mitigar ciberameaças. Na Europa, especificamente, os grupos de trabalho mais relevantes são:

• Rede de Cooperação Europeia para as Eleições (European Cooperation Network on Elections – ECNE): criado um mecanismo comum de resiliência eleitoral para monitorizar e proteger o tráfego de rede de uma organização ou dos serviços dos Estados.
  
  
• Grupo de Cooperação SRI (NIS Cooperation Group – NISCG): criado pela Diretiva NIS para atingir um elevado nível comum de segurança das redes e dos sistemas de informação na União Europeia.
  
  
• Sistema de Alerta Rápido (Rapid Alert System – RAS): plataforma digital onde os Estados-membros e as instituições da UE podem partilhar informações sobre desinformação e coordenar respostas.
  
  
• Rede de CSIRT da UE: rede composta por CSIRT nomeadas pelos Estados-membros da UE e pela CERT-EU, também potenciada pela ENISA.
  
  
• EU-CyCLONe: rede de cooperação para a gestão de incidentes de cibersegurança em grande escala na UE.

Os encontros destas organizações terminam normalmente com um conjunto de ações recomendadas a implementar para aumentar as defesas das infraestruturas de IT. Algumas das medidas mais recorrentes são:

• Colaborar e partilhar informações
  As equipas de Centros de Operações de Segurança (Security Operations Center – SOC) devem partilhar informações sobre ameaças para melhorar a deteção e a arquitetura defensiva global.
  
  
• Aumentar a sensibilização
  Todos os funcionários devem ter um conhecimento mínimo de ciberameaças e das melhores práticas (phishing, segurança das palavras-passe, atualizações, etc.).
  
  
• Identificar e gerir riscos
  Os riscos e as respostas que lhes estão associadas devem ser previamente identificados através de um estudo de caso.
  
  
• Exercícios e formação
  A gestão de crises deve ser testada para que os intervenientes saibam o que fazer em condições reais.
  
  
• Auditar medidas organizacionais e técnicas
  Efetuar auditorias regulares (análise de código, testes de resistência, análises de vulnerabilidades, pentests, avaliação de procedimentos e práticas) para detetar pontos fracos na infraestrutura.

Como irá evoluir a cibersegurança na política?

O nosso especialista em cibersegurança prevê algumas tendências e desafios para os próximos anos. “A principal dificuldade em termos de cibersegurança será distinguir entre informação verdadeira e falsa. As redes sociais vão tornar-se cada vez mais importantes, pelo que teremos de ter muito cuidado com as informações em que podemos confiar. Devemos ter uma fonte fiável para obter informações de candidatos legítimos. Além disso, os políticos terão de estar mais conscientes dos riscos gerais de cibersegurança para evitar a fuga de dados e a divulgação de informações falsas”, aconselha Raphaël.

No que respeita à Inteligência Artificial, o perito acredita que “será um grande desafio nos próximos anos, pelo que a sensibilização dos governos e do público será importante”.

Os cidadãos podem contribuir para a cibersegurança eleitoral?

Sem dúvida. No final de contas, ainda há muito que podemos fazer, individualmente, para melhorar a sensibilização para a cibersegurança e a fiabilidade das eleições políticas. O especialista em cibersegurança da Alter Solutions sugere as seguintes ações:

• “Fazer fact-check [verificação de factos] de todas as informações que não provêm de fontes legítimas: mesmo que um vídeo pareça real (reproduzindo exatamente o rosto, a voz, o comportamento, a postura, os tiques verbais, etc. de alguém), pode ser falso.
• Ler ou ouvir diferentes opiniões sobre temas políticos.
• Não transmitir informações que não tenhamos a certeza de que são legítimas.
• Não fornecer informações pessoais a ninguém.
• Verificar a segurança e a legitimidade dos websites onde partilhamos dados.
• Não abrir links suspeitos, anexos, e-mails ou mensagens provenientes de um remetente não fiável.”

Eleições de 2024 em todo o mundo

Confere algumas das eleições políticas mais relevantes que se realizam em 2024, tendo em conta o seu elevado risco de interferência cibernética, contando com informações sobre o tipo de eleição, a data e o índice de eleições livres e justas 2023 do país em questão (que varia entre 0 e 1):

União Europeia

• Tipo de eleição: Parlamento Europeu
• Data: 6 a 9 de junho
• Índice de eleições livres e justas: 0.91

Estados Unidos da América

• Tipo de eleição: Presidência, Senado e Câmara dos Representantes
• Data: 5 de novembro
• Índice de eleições livres e justas: 0.9

Reino Unido

• Tipo de eleição: Câmara dos Comuns
• Data: Previsto para 2024, sendo a última data possível a 28 de janeiro de 2025
• Índice de eleições livres e justas: 0.93

Bélgica

• Tipo de eleição: Câmara dos Representantes
• Data: 9 de junho
• Índice de eleições livres e justas: 0.97

Geórgia

• Tipo de eleição: Presidência + Parlamento
• Data: 26 de outubro + Por definir
• Índice de eleições livres e justas: 0.60

Índia

• Tipo de eleição: Lok Sabha (câmara baixa do Parlamento)
• Data: 19 de abril a 1 de junho
• Índice de eleições livres e justas: 0.51

México

• Tipo de eleição: Presidência, Senado e Câmara de Deputados
• Data: 2 de junho
• Índice de eleições livres e justas: 0.67

Coreia do Sul

• Tipo de eleição: Assembleia Nacional
• Data: 10 de abril
• Índice de eleições livres e justas: 0.95

Bielorrússia

• Tipo de eleição: Câmara dos Representantes
• Data: 25 de fevereiro
• Índice de eleições livres e justas: 0.14

Indonésia

• Tipo de eleição: Presidência, Conselho dos Representantes Regionais, Câmara dos Representantes
• Data: 14 de fevereiro
• Índice de eleições livres e justas: 0.66

Paquistão

• Tipo de eleição: Assembleia Nacional
• Data: 8 de fevereiro
• Índice de eleições livres e justas: 0.28

Portugal

• Tipo de eleição: Assembleia da República
• Data: 10 de março
• Índice de eleições livres e justas: 0.95

Rússia

• Tipo de eleição: Presidência
• Data: 15 a 17 de março

• Índice de eleições livres e justas: 0.23