FMI: o tempo de descoberta de vulnerabilidade de software até exploração está encolhendo — Tobias Adrian

Tobias Adrian, conselheiro financeiro e diretor do Departamento de Mercados Monetários e de Capitais do Fundo Monetário Internacional (FMI), afirmou em uma entrevista com Bloomberg que o intervalo de tempo entre a descoberta de uma vulnerabilidade de software e sua exploração por criminosos está diminuindo — e isto cria uma ameaça real para a estabilidade financeira.

O que o representante do FMI disse

Adrian contou isto a Francine Lacqua da Bloomberg no ar do programa The Pulse — a entrevista foi gravada no fórum do Banco Central Europeu sobre bancos centrais em Sintra (Portugal), um dos principais encontros anuais de líderes de bancos centrais mundiais.

• Orador — Tobias Adrian, conselheiro financeiro e diretor do Departamento de Mercados Monetários e de Capitais do FMI
• Tese chave — o ciclo "vulnerabilidade → exploração" está encurtando em tempo
• Local — o fórum do BCE sobre bancos centrais em Sintra
• Formato — entrevista da Bloomberg TV, programa The Pulse com Francine Lacqua

"Isto cria uma ameaça real para a estabilidade financeira", declarou

Adrian.

Por que isto preocupa as autoridades financeiras

Quanto mais rápido os criminosos conseguem explorar uma vulnerabilidade nova, menos tempo os bancos, bolsas e sistemas de pagamento têm para instalar patches e proteger sua infraestrutura. Para o setor financeiro, que movimenta trilhões de dólares em transações e depende da disponibilidade contínua dos sistemas, até uma breve janela entre a publicação de uma vulnerabilidade e o primeiro ataque pode resultar em falhas de liquidação, vazamentos de dados de clientes ou manipulação de mercado.

É exatamente por isso que a cibersegurança é regularmente levantada em reuniões de reguladores como o FMI e o BCE junto com questões clássicas de inflação e taxas de juros — ciberataques na infraestrutura são cada vez mais vistos como risco sistêmico capaz de desestabilizar o sistema financeiro tanto quanto uma crise bancária.

Quem deve responder aos ataques acelerados

As palavras de Adrian são direcionadas não apenas aos departamentos de TI dos bancos, mas aos próprios reguladores: se anteriormente os defensores de infraestrutura podiam contar com dias ou semanas entre a publicação de uma vulnerabilidade e o primeiro ataque em massa, o encurtamento desta janela requer repensar abordagens de gerenciamento de patches, compartilhamento de informações de ameaças entre instituições financeiras, e a velocidade de implementação de atualizações em sistemas críticos — desde bolsas até gateways de pagamento.

O FMI já há vários anos inclui ameaças cibernéticas em seus relatórios sobre estabilidade financeira global junto com riscos de dívida e cambiais, e o fórum de Sintra serve tradicionalmente como um lugar onde líderes de bancos centrais alinham posições em temas além da política monetária clássica.

O departamento encabeçado por Adrian é responsável por monitorar riscos para os mercados de capitais globais — e frequentemente avisa reguladores sobre novas ameaças à resiliência do sistema bancário, seja problemas de dívida específicos de países ou vulnerabilidades tecnológicas. O aparecimento de ciberataques na mesma categoria de tais avisos indica que o FMI agora a trata não como foco específico do setor para departamentos de TI de bancos, mas como parte da supervisão macroprudencial — ou seja, o sistema de medidas pelas quais reguladores tentam prevenir crises que afetam todo o sistema financeiro.

O que isto significa

O aviso do FMI é um sinal de que reguladores não consideram mais cibersegurança um problema técnico estreito: a velocidade com a qual vulnerabilidades de software são corrigidas está se tornando parte da imagem geral da resiliência do sistema financeiro global.