Um ex-executivo de cibersegurança da IBM acusou a empresa de ter sido alvo de ataques cibernéticos três vezes na década anterior por governos estrangeiros e de ter acobertado as violações.
Em um processo judicial divulgado esta semana , mas apresentado em 2020, William Barlow, que foi vice-presidente de inteligência de ameaças da IBM até agosto de 2019, afirmou que a IBM concluiu que hackers chineses invadiram sua rede principal entre 2013 e 2016, mas que a empresa acobertou as invasões e nunca as divulgou. Barlow também afirmou que pelo menos duas subsidiárias da IBM também foram invadidas e que a IBM acobertou essas invasões igualmente.
Barlow alegou em sua denúncia que a rede principal da IBM era “rotineiramente invadida por agentes estatais estrangeiros e outros”, acrescentando que os dados eram frequentemente roubados e que as agências governamentais “nunca eram notificadas”.
Embora as supostas violações datem de mais de uma década, as notícias mostram que os ciberataques, mesmo aqueles que afetam grandes empresas de tecnologia de capital aberto como a IBM, às vezes nunca são divulgados, nem ao público nem às autoridades governamentais competentes. A IBM é uma importante fornecedora de cibersegurança para o governo federal dos EUA, o que torna o suposto ocultamento especialmente significativo. Nos últimos anos, diversas leis de notificação de violação de dados foram aprovadas para combater esse problema.
A Bloomberg foi a primeira a noticiar o processo .
A porta-voz da IBM, Miki Carver, recusou-se a responder a perguntas específicas sobre o processo e as acusações subjacentes. Em vez disso, Carver disse ao TechCrunch: “Esta queixa foi apresentada há seis anos e o Departamento de Justiça dos EUA recusou-se a intervir. A IBM está confiante de que nossas ações seguiram a lei à risca.”
Em particular, Barlow afirmou que a IBM estava entre as várias vítimas de uma campanha de hackers realizada pelo APT 10, um grupo ligado ao governo chinês que, segundo o então diretor do FBI, Christopher Wray, tinha como alvo uma lista de figuras importantes da economia global quando seus membros foram indiciados em 2018. Os hackers invadiram tanto a rede da empresa quanto os dados que ela mantinha em parceria com a AT&T.
Barlow alegou que, em março de 2017, agentes de inteligência da Austrália, Canadá, Nova Zelândia, Estados Unidos e Reino Unido — a chamada aliança Five Eyes — alertaram a IBM sobre a violação, o que motivou uma investigação interna.
Segundo a denúncia, a investigação concluiu que o grupo APT 10 potencialmente invadiu a rede da IBM mais de 56.000 vezes entre 2013 e 2016. Crucialmente, a empresa afirmou que não pôde investigar mais a fundo porque não mantinha registros de quem acessou sua rede e quando — uma prática básica de segurança.
A IBM supostamente deixou de alertar as autoridades e o governo dos EUA, um de seus principais clientes.
“Como a infraestrutura das redes principais da IBM e da AT&T é arcaica, os hackers conseguiram acessar o sistema em diversas ocasiões e podem se movimentar praticamente em qualquer lugar sem serem detectados”, dizia a denúncia, que explicava que a investigação interna da IBM concluiu que quatro servidores foram comprometidos na campanha de hackers APT 10.
“Os atacantes comprometeram e/ou acessaram quase 400 contas comprometidas e quase 200 sistemas e servidores no total, abrangendo todas as unidades de negócios da IBM, dezoito países e vários produtos da IBM”, afirmou um relatório interno da IBM sobre a investigação da violação, de acordo com a denúncia.
Jason Brown, advogado que representa Barlow, disse ao TechCrunch que seu escritório está “ansioso para litigar o caso de forma agressiva”.
“Não se pode vender cibersegurança ao governo federal enquanto se alega que a empresa tem esses problemas de segurança dentro da própria empresa”, disse Brown.
Segundo Barlow, outras violações de segurança de que ele tinha conhecimento afetaram a Trusteer, uma startup de cibersegurança adquirida pela IBM em 2013, que, segundo ele, sofreu uma violação em 2018; e a Truven, uma startup de dados de saúde adquirida pela IBM em 2016, que, segundo ele, sofreu várias violações após a aquisição.
Em ambos os casos, Barlow acusou a IBM de não investigar e divulgar adequadamente essas violações.
