Entenda as causas e os custos da pane digital global
Segurados calcularam danos financeiros causados pela falha do software CrowdStrike na semana passada
As seguradoras começaram a calcular os danos financeiros causados pela falha devastadora do software CrowdStrike na semana passada, que derrubou computadores, cancelou voos e interrompeu hospitais em todo o mundo — e o cenário não é nada bonito.
O que foi descrito como a maior interrupção de TI da história custará somente às empresas da Fortune 500 mais de US$ 5 bilhões em perdas diretas, de acordo com a análise do incidente feita por uma seguradora, publicada na quarta-feira (24).
Os novos números destacam como uma única atualização automatizada de software paralisou repentinamente grande parte da economia global — revelando a enorme dependência do mundo de uma importante empresa de segurança cibernética — e o que será necessário para se recuperar.
As estimativas vêm no mesmo dia em que a CrowdStrike emitiu um relatório preliminar sobre como ela causou o colapso generalizado de TI. É a análise técnica mais detalhada até o momento da interrupção.
As empresas estão se esforçando para se recuperar – especialmente a Delta Air Lines. A Delta ainda está lidando com as consequências da falha, já que milhares de voos foram cancelados. O Departamento de Transporte está investigando.
Várias empresas da Fortune 500 usam o software de segurança cibernética da CrowdStrike para detectar e bloquear ameaças de hacking.
Mas quando a CrowdStrike lançou uma atualização na semana passada para seu software de segurança cibernética exclusivo, conhecido como Falcon, milhões de computadores ao redor do mundo executando o Microsoft Windows travaram por causa da maneira como a atualização interagiu com o Windows.
Os setores de saúde e bancário foram os mais afetados pelo desastre da CrowdStrike, com perdas estimadas de US$ 1,94 bilhão e US$ 1,15 bilhão, respectivamente, disse a Parametrix, empresa de monitoramento em nuvem e seguros por trás da análise de quarta-feira (24).
As companhias aéreas da Fortune 500, como American e United, foram as segundas mais afetadas, perdendo um total de US$ 860 milhões, disse a Parametrix.
No total, a interrupção pode ter custado às empresas da Fortune 500 até US$ 5,4 bilhões em receitas e lucro bruto, disse a Parametrix, sem contar quaisquer perdas secundárias que podem ser atribuídas à perda de produtividade ou danos à reputação.
Apenas uma pequena parcela, em torno de 10% a 20%, pode ser coberta por apólices de seguro de segurança cibernética, acrescentou a Parametrix.
A Fitch Ratings, uma das maiores agências de classificação de crédito dos EUA, disse na segunda-feira (22) que os tipos de seguro que provavelmente verão mais reivindicações decorrentes da paralisação incluem seguro contra interrupção de negócios, seguro de viagem e seguro contra cancelamento de eventos.
“Este incidente destaca um risco crescente de pontos únicos de falha”, disse a Fitch em uma postagem de blog , alertando que tais pontos únicos de falha “provavelmente aumentarão à medida que as empresas buscam consolidação para aproveitar a escala e a experiência, resultando em menos fornecedores com maiores participações de mercado”.
As estimativas alarmantes de danos ressaltam como um erro evitável em uma das empresas de segurança cibernética mais dominantes do mundo teve efeitos em cascata na economia global — e pode levar a mais pedidos para que a CrowdStrike seja responsabilizada.
O que aconteceu
Na quarta-feira, a CrowdStrike divulgou um relatório descrevendo os resultados iniciais de sua investigação sobre o incidente, que envolveu um arquivo que ajuda a plataforma de segurança da CrowdStrike a procurar sinais de invasão maliciosa em dispositivos de clientes.
A empresa testa rotineiramente suas atualizações de software antes de distribuí-las aos clientes, disse a CrowdStrike no relatório.
Mas em 19 de julho, um bug no sistema de testes baseado em nuvem da CrowdStrike — especificamente, a parte que executa verificações de validação em novas atualizações antes do lançamento — acabou permitindo que o software fosse distribuído “apesar de conter dados de conteúdo problemáticos”.
O lançamento ruim foi publicado logo após a meia-noite, horário do leste, em 19 de julho, e revertido uma hora e meia depois, à 1:27 da manhã, horário do leste, disse a CrowdStrike.
Mas, a essa altura, milhões de computadores já haviam baixado automaticamente a atualização defeituosa. O problema afetou apenas dispositivos Windows, não máquinas Mac ou Linux, e apenas aqueles que estavam ligados e capazes de receber atualizações durante aquelas primeiras horas da manhã.
Graças ao momento do incidente, organizações na Europa e na Ásia “tiveram mais dias de trabalho afetados pela interrupção, ao contrário das Américas”, escreveu a Fitch em sua postagem no blog.
Quando dispositivos Windows usando as ferramentas de segurança cibernética da CrowdStrike tentaram acessar o arquivo defeituoso, isso causou uma “leitura de memória fora dos limites” que “não pôde ser tratada adequadamente, resultando em uma falha do sistema operacional Windows”, disse a CrowdStrike.
Essa é a Tela Azul da Morte que muitas pessoas relataram ter visto em suas máquinas, e que somente uma intervenção manual para excluir o arquivo defeituoso poderia consertar — um processo lento e trabalhoso quando você considera que cerca de 8,5 milhões de dispositivos individuais precisarão ser redefinidos dessa maneira.
Esse número é pequeno como uma porcentagem do ecossistema mais amplo do Windows, disse a Microsoft — uma empresa que não teve nenhum papel direto na interrupção.
Ainda assim, a Microsoft disse em uma postagem de blog que “demonstra a natureza interconectada do nosso amplo ecossistema”.
A CrowdStrike disse que o sistema de teste e validação que aprovou a atualização de software ruim pareceu funcionar normalmente para outros lançamentos feitos no início do ano.
Mas prometeu na quarta-feira evitar que falhas de software como as da semana passada aconteçam novamente e divulgar publicamente uma análise mais detalhada quando estiver disponível.
A empresa acrescentou que está desenvolvendo uma nova verificação para seu sistema de validação “para evitar que esse tipo de conteúdo problemático seja implantado no futuro”.
E a CrowdStrike disse que também planeja adotar uma abordagem escalonada para lançar atualizações de conteúdo, para que nem todos recebam a mesma atualização de uma só vez, e para dar aos clientes um controle mais preciso sobre quando as atualizações são instaladas.
