FMI: o tempo entre a descoberta de uma vulnerabilidade em software e sua exploração está diminuindo, diz Tobias Adrian

Tobias Adrian, conselheiro financeiro e diretor do Departamento de Mercados Monetários e de Capitais do Fundo Monetário Internacional (FMI), afirmou em entrevista à Bloomberg que o intervalo entre a descoberta de uma vulnerabilidade em software e sua exploração por criminosos está diminuindo — e que isso representa uma ameaça real à estabilidade financeira.

O que disse o representante do FMI

Adrian falou sobre o assunto com Francine Lacqua, da Bloomberg, no programa The Pulse. A entrevista foi gravada durante o Fórum sobre Banca Central do Banco Central Europeu em Sintra (Portugal), um dos principais encontros anuais de dirigentes de bancos centrais do mundo.

• Porta-voz — Tobias Adrian, conselheiro financeiro e diretor do Departamento de Mercados Monetários e de Capitais do FMI
• Tese principal — o ciclo «vulnerabilidade → exploração» está ficando mais curto
• Local da declaração — Fórum do BCE sobre Banca Central, em Sintra
• Formato — entrevista à Bloomberg TV, no programa The Pulse com Francine Lacqua

«Isso representa uma ameaça real à estabilidade financeira», afirmou

Adrian.

Por que isso preocupa as autoridades financeiras

Quanto mais rápido os criminosos conseguem explorar uma vulnerabilidade recente, menos tempo bancos, bolsas e sistemas de pagamento têm para aplicar patches e proteger sua infraestrutura. No setor financeiro, que movimenta trilhões de dólares em transações e depende da disponibilidade ininterrupta dos sistemas, até uma janela curta entre a divulgação de uma vulnerabilidade e o primeiro ataque pode resultar em falhas de liquidação, vazamentos de dados de clientes ou manipulação de mercado.

Por isso, a cibersegurança aparece com frequência nas reuniões de reguladores do porte do FMI e do BCE, ao lado de temas clássicos como inflação e taxas de juros. Ataques cibernéticos à infraestrutura são cada vez mais tratados como risco sistêmico, capaz de desestabilizar o sistema financeiro tanto quanto uma crise bancária.

Quem precisa reagir à aceleração dos ataques

As palavras de Adrian não se dirigem apenas às equipes de TI dos bancos, mas também aos próprios reguladores. Antes, quem defendia a infraestrutura podia contar com dias ou semanas entre a divulgação de uma vulnerabilidade e o primeiro ataque em massa. Com essa janela encolhendo, é preciso rever as abordagens de gestão de patches, o compartilhamento de informações sobre ameaças entre instituições financeiras e a velocidade de implantação de atualizações em sistemas críticos — de bolsas a gateways de pagamento.

Há anos o FMI inclui as ameaças cibernéticas em seus relatórios de estabilidade financeira global, ao lado dos riscos de dívida e cambiais. O fórum de Sintra, por sua vez, tradicionalmente serve de espaço para que os dirigentes de bancos centrais alinhem posições sobre temas que vão além da política monetária clássica.

O departamento chefiado por Adrian é justamente o responsável por monitorar os riscos para os mercados de capitais globais e alerta regularmente os reguladores sobre novas ameaças à solidez do sistema bancário, sejam problemas de dívida de países específicos ou vulnerabilidades tecnológicas. A inclusão dos ataques cibernéticos entre esses alertas mostra que o FMI agora não trata o tema como uma questão setorial dos departamentos de TI dos bancos, e sim como parte da supervisão macroprudencial — o conjunto de medidas com que os reguladores tentam evitar crises que atinjam o sistema financeiro como um todo.

O que isso significa

O alerta do FMI sinaliza que os reguladores já não consideram a cibersegurança um tema estritamente técnico: a velocidade com que as vulnerabilidades em software são corrigidas passa a fazer parte do quadro geral de resiliência do sistema financeiro global.