Uma falha no Microsoft 365 iniciada no começo da tarde de quinta-feira (horário da Costa Leste dos EUA) ainda não estava resolvida na madrugada de sexta-feira, derrubando e-mail e mensagens internas de órgãos públicos, prestadores de serviços de saúde e empresas na América do Norte e em boa parte do mundo.
Os usuários começaram a relatar problemas pouco depois do meio-dia (horário de Nova York) de quinta-feira, e a Microsoft abriu o incidente por volta das 13h26. Às 13h30, a soma dos relatos de problemas com o Outlook nos EUA e no Canadá no monitor de quedas Downdetector chegava a quase 150 mil, e ainda passava de 35 mil às 21h30. Na manhã de sexta-feira, a Microsoft disse estar vendo resultados positivos de um patch aplicado a parte da infraestrutura, mas não deu prazo para a recuperação total e alertou que os usuários ainda poderiam não conseguir se conectar ao Outlook na web ou no desktop.
A Microsoft afirma que a pane não foi causada por um ataque cibernético. A empresa atribuiu o problema a um efeito em cascata: alguns servidores saíram do ar inesperadamente e os demais ficaram sobrecarregados com a carga extra. Clientes corporativos podem acompanhar os incidentes EX1550543 e MO1550821 na página de status do Microsoft 365.
Quem foi atingido
Governo e Justiça. Parte das interrupções mais visíveis ocorreu no setor público. No Colorado, o xerifado do condado de Arapahoe informou que a equipe da cadeia não estava recebendo as notificações por e-mail necessárias para processar pagamentos de fiança on-line, e quem precisava pagar fiança teve de ir pessoalmente à unidade de detenção. O Departamento de Tecnologia, Gestão e Orçamento de Michigan (Department of Technology, Management and Budget) alertou que algumas operações estaduais foram afetadas e que respostas por e-mail poderiam atrasar. No Novo México, houve relatos de impacto em órgãos estaduais e municipais, hospitais, universidades e duas concessionárias de serviços públicos, enquanto as cidades californianas de Pasadena, Fremont, Burbank e Santa Barbara avisaram aos moradores que o e-mail estava fora do ar. Tribunais de Los Angeles ao Texas e a Alberta publicaram avisos de que as comunicações poderiam sofrer atrasos, e o Instituto Médico Legal do condado de Los Angeles esteve entre os órgãos que perderam o e-mail.
No exterior, o governo do Japão informou que sua plataforma de TI compartilhada foi afetada, e a Suprema Corte das Filipinas e os tribunais de Singapura alertaram para atrasos no e-mail. Na Austrália, o órgão de segurança ASIO e a Polícia Federal também foram atingidos.
“Acho que estávamos quase esperando que algo assim acontecesse”, afirmou Jennifer Clancy, consultora em risco cibernético. “Acho que o seguro cibernético fala há muito tempo sobre esses eventos que estavam no horizonte.”
Hospitais. Os prestadores de saúde perderam o e-mail, e não os sistemas clínicos, mas a pressão sobre as operações ficou evidente. Hospitais de todo o Canadá relataram interrupções, e o St. Michael’s Hospital, em Toronto, declarou “código cinza”, alerta usado pelos hospitais quando a infraestrutura crítica falha. No Reino Unido, o NHS (sistema público de saúde) disse que alguns serviços foram afetados, mas orientou os pacientes a comparecer às consultas normalmente; na Austrália, a Queensland Health informou não haver impacto clínico conhecido.
Companhias aéreas. Diferentemente da falha da CrowdStrike em 2024, que deixou voos em terra no mundo todo, esta pane não parou aviões. O impacto foi no atendimento ao cliente. A maior companhia aérea da Índia, a IndiGo, disse que seu suporte por e-mail foi interrompido e direcionou os viajantes a outros canais, enquanto a Air India afirmou que suas operações de voo não foram afetadas, mas redirecionou seu e-mail para que as consultas de clientes continuassem chegando. Até a noite de quinta-feira, nenhuma falha relevante em companhias aéreas, bancos ou sistemas de pagamento havia sido ligada à pane.
Empresas. Ao menos uma companhia de capital aberto adiou um evento para investidores, informando aos acionistas que o reagendamento se devia à interrupção de negócios causada pela pane.
O risco dos funcionários
Para os gestores de risco, a pane em si pode acabar sendo o problema menor. Especialistas em segurança vêm alertando que a forma como os funcionários reagem a um dia sem e-mail pode criar exposições que duram mais do que a própria interrupção.
A primeira é a chamada shadow IT, o uso de ferramentas não autorizadas pela área de tecnologia. Quando as ferramentas aprovadas deixam de funcionar, pessoas sob pressão de prazo recorrem ao que estiver disponível: contas pessoais de Gmail, aplicativos de mensagens de consumo, notebooks domésticos, sites gratuitos de compartilhamento de arquivos.
O professor associado da Swinburne University of Technology, Ali Yavari, falando na Austrália, apontou esse como o maior motivo de preocupação. Um funcionário que encaminha um prontuário de paciente, um arquivo de cliente ou uma planilha de folha de pagamento para uma conta pessoal para cumprir um prazo pode violar a política da empresa, a lei de privacidade ou um dever contratual de confidencialidade sem perceber. Para prestadores de saúde nos EUA, a divulgação de informações de saúde protegidas também pode levantar questões à luz da HIPAA, lei americana de proteção de dados de saúde.
A segunda é a engenharia social. Bancos já alertaram os clientes de que fraudadores podem se passar pela Microsoft ou pelo suporte de TI oferecendo consertar o problema, ou enviar mensagens falsas de redefinição de senha e de “restauração da conta” quando o e-mail voltar. Funcionários ansiosos para retomar o trabalho são exatamente o público dessas mensagens. A equipe deve verificar qualquer pedido relacionado à pane por um canal separado e conhecido antes de clicar, compartilhar credenciais ou aprovar um pagamento, e deve desconfiar de qualquer ligação inesperada de alguém que diga ser da Microsoft.
A terceira é menos óbvia: a autenticação que depende do próprio sistema que ela protege. Na Austrália, alguns usuários não conseguiram acessar aplicativos corporativos sem relação com o problema porque seus códigos de autenticação multifator chegavam por e-mail. As equipes de segurança também perderam visibilidade, já que a Microsoft listou o Defender XDR, seu produto de segurança, entre os serviços afetados.
O que isso significa para as coberturas
Para os corretores nos EUA, a pane levanta três questões de cobertura.
A primeira é se algo é acionado. Muitas apólices cibernéticas só respondem a interrupção de negócios causada por uma falha de segurança, e a Microsoft foi clara ao dizer que não houve ataque. As que entram em jogo são as apólices que se estendem a falhas não maliciosas de sistemas, ou que incluem cobertura de interrupção de negócios contingente para quedas em um provedor de nuvem ou de software, e os textos variam quanto a um provedor de software como serviço (SaaS) ser ou não considerado uma dependência coberta. “Normalmente é preciso ter o que se chama de violação real ou suspeita para entrar na apólice. Acho que a maioria dos afetados por isso dificilmente atingirá esse patamar”, afirmou Joe Hershewe, líder de práticas de sinistros da Bellrock Advisory, em Sydney.
Ed Ventham, cofundador e diretor da corretora britânica de seguros cibernéticos Assured, disse que é “cedo demais para dizer o que isso significará para os sinistros, e as empresas devem desconfiar de quem disser o contrário”.
A segunda é o tempo. A cobertura de interrupção de negócios contingente costuma ter um período de carência, frequentemente de oito horas ou mais, além de sublimites bem inferiores ao limite principal. A pane já passou com folga de oito horas, mas, para muitas empresas americanas, ela começou na tarde de quinta-feira, de modo que as horas de trabalho efetivamente perdidas podem ser menos do que a duração divulgada sugere. Clientes com operação ininterrupta, vendas on-line ou clientes em outros fusos horários podem estar mais próximos do limite.
A terceira é a exposição decorrente do comportamento dos funcionários. A divulgação de dados por uma conta pessoal, ou um pagamento enviado a um fraudador que se passa pelo suporte de TI, pode recair sobre partes bem diferentes do programa de seguros de um cliente: responsabilidade por privacidade, cobertura regulatória, cobertura de engenharia social ou de fraude por transferência de fundos (frequentemente com sublimite) ou uma apólice de crime. Clientes da área de saúde vão querer verificar como suas apólices respondem a uma divulgação relacionada à HIPAA ocorrida fora de qualquer violação de seus próprios sistemas.
O que os corretores podem fazer agora
O conselho prático é simples. Incentivar os clientes a manter um registro de quando os sistemas falharam, que soluções improvisadas a equipe usou e quando o serviço voltou, o que será importante para qualquer sinistro de interrupção de negócios e para qualquer regulador que faça perguntas depois. Pedir que verifiquem se dados de clientes, pacientes ou financeiros foram parar em contas pessoais ou aplicativos não aprovados durante a pane e, se foram, que avisem a seguradora logo. E lembrá-los de que qualquer pedido de alteração de dados de pagamento ou de compartilhamento de credenciais na próxima semana, mais ou menos, merece um retorno por telefone para um número conhecido.
“O que eventos como este mostram é por que as seguradoras prestam tanta atenção ao risco de concentração”, disse Ventham. “Quando a falha de um único provedor pode afetar milhares de organizações ao mesmo tempo, as consequências se espalham por todo o setor, muito além do alcance da apólice de uma única organização.”
Na renovação, a pane oferece aos corretores um estudo de caso pronto para revisar o texto da cobertura de interrupção de negócios contingente, períodos de carência e sublimites, limites de engenharia social e se a autenticação multifator e os planos de continuidade do cliente dependem do mesmo provedor que acabou de falhar.
Com informações de Insurance Business.
