Apesar de considerarem a descoberta de falhas que afetam processadores de diferentes fabricantes uma ameaça potencial, a maior parte dos diretores de tecnologia das empresas brasileiras ainda não colocou a correção dos problemas na sua lista de projetos para o ano. Segundo sondagem feita pelo Valor, 69% dos gestores consideram que as recentes falhas Meltdown e Spectre representam risco para suas empresas. No entanto, 49% dos executivos ainda não decidiram investir numa solução, principalmente pelo desembolso que isso representa.

Em um ano em que o orçamento para iniciativas na área de segurança da informação permaneceu estável em relação a 2017 para a maioria das empresas, a falta de recursos foi citada como o principal empecilho para a empreitada. "É difícil explicar para todo o conselho que uma falha de 20 anos possa ter sido descoberta somente agora.

Eles entendem que pode ser apenas especulação para troca de equipamentos. Na próxima grande atualização das máquinas, colocarei essa premissa de segurança. É o melhor jeito de aprovar uma substituição em escala das atuais máquinas", disse um executivo sob condição de anonimato. Os gestores também disseram que pretendem aguardar as atualizações de software de seus fornecedores para efetuar as trocas necessárias.

Batizadas de Meltdown e Spectre, as falhas foram reveladas há duas semanas por pesquisadores ligados a uma divisão de estudos na área de segurança do Google, o Project Zero. Tudo se baseia em um recurso legítimo criado há duas décadas para acelerar o desempenho dos processadores. A "execução especulativa" permite que o componente, que é considerado o cérebro de um equipamento, antecipe informações que um programa vai precisar mais adiante. Para "adivinhar" o que vai acontecer, o processador armazena as informações em uma área de transferência da máquina, o cache.

Os dados transferidos para essa memória de acesso rápido ficam armazenados sem nenhum tipo de proteção específica - o isolamento entre os dados usados por diferentes programas sempre foi uma premissa básica no mundo da programação, então não havia preocupação com isso. Mas o que os pesquisadores descobriram é que um terceiro pode "espiar" os dados armazenados na memória usando softwares e técnicas específicas. Assim, ele poderia ter acesso a senhas e outros dados confidenciais de pessoas e empresas.

Isso é potencialmente perigoso dentro do modelo de computação em nuvem, em que os equipamentos dos centros de dados funcionam de forma compartilhada - significa que um processador pode gerenciar as compras feitas em um site de comércio eletrônico enquanto fecha o balanço trimestral de uma outra companhia.

Segundo os pesquisadores, o Meltdown só afeta processadores da Intel. Já o Spectre atinge os dessa companhia e de outras marcas, como AMD e ARM - empresa de origem britânica hoje controlada pela japonesa Softbank que licencia as tecnologias usadas por Qualcomm e Nvidia, entre outras, para fabricar seus chips.

Desde que os problemas foram revelados, essas companhias e outras como Microsoft, Red Hat, Mozilla, Apple e HP têm corrido para liberar atualizações que corrijam o problema. A grande questão é que, por desabilitar, ou limitar o uso da execução especulativa, essas adaptações podem levar a uma queda na performance do equipamento que varia entre 5% e 30%, dependendo do programa.

Até o momento, nenhuma empresa de segurança ou órgão governamental detectou a exploração das falhas. E isso, de certa forma, joga a favor dos diretores de tecnologia. Como não existe uma ameaça a ser combatida imediatamente, dá para esperar um pouco mais antes de dar algum passo.

A situação não é considerada tão crítica para as empresas brasileiras, segundo Marco Ribeiro, sócio-diretor da área de segurança digital da Protivit. "Os criminosos brasileiros não têm um nível técnico muito elevado. Eles dependem muito de ferramentas prontas disponíveis na internet. Se fosse na Rússia, ou na China, eu me preocuparia agora em alguém desenvolver alguma coisa, mas, aqui, é mais tranquilo", disse ele.

Marcos Tabajara, presidente da empresa de segurança Sophos no Brasil, diz que a descoberta do Meltdown e do Spectre abre as portas para uma "nova era" de ataques cibernéticos. Nesse novo modelo, os criminosos não vão estudar e explorar apenas as falhas nos softwares, mas também problemas que possam existir no hardware. "Antes, a superfície de ataques era apenas da rede da empresa para dentro, mas hoje tem os smartphones, a internet das coisas, a nuvem. Se o caminho for mais lucrativo e mais fácil de ser explorado, os hackers vão explorar", afirmou o executivo.