NCSC britânico: ransomware com IA contra infraestruturas críticas até 2028 é “highly likely”
O National Cyber Security Centre, a autoridade técnica britânica de cibersegurança que integra a agência de inteligência GCHQ, publicou a 3 de novembro o relatório anual State of the Cyber Nation. O documento abrange o período de 1 de setembro de 2025 a 31 de agosto de 2026 e sai em conjunto com a NCSC Annual Review 2026, em que o organismo faz o balanço do seu décimo ano. A passagem mais incisiva diz respeito a 2028. Segundo o comunicado do NCSC, é “highly likely”, ou seja, muito provável, que até essa data um malware baseado em IA seja utilizado num ataque de ransomware contra as infraestruturas nacionais críticas do Reino Unido. Deve ser lido pelo que é: uma avaliação probabilística de inteligência, não uma previsão certa nem um facto já ocorrido. O organismo estima ainda que, dentro de dois anos, o uso de IA por atores hostis tornará muito provavelmente mais amplas e eficientes três atividades: o ransomware, a engenharia social e a exploração de vulnerabilidades.
Segundo a Associated Press, a tese do relatório não é que a IA invente ataques novos. Vai sobretudo tornar mais eficazes as técnicas existentes, porque permite encontrar e explorar em larga escala fragilidades ignoradas há muito tempo. Quem apresentou o documento foi o diretor executivo do NCSC, Richard Horne. No seu discurso, afirmou: “In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents”. Em suma: nos próximos meses há uma perspetiva concreta de um aumento sem precedentes dos incidentes informáticos. Acrescentou depois uma frase que alarga a responsabilidade muito para lá dos atacantes: “For decades, we have collectively got away with doing tech on the cheap”. Ou seja, durante décadas safámo-nos todos fazendo tecnologia ao desbarato.
Ainda segundo a AP, o relatório aponta a China como o maior e mais persistente desafio informático para o Reino Unido. Sobre a Rússia, escreve que conduz campanhas abaixo do limiar do conflito armado; sobre o Irão, que ataca o país e visa pessoas que considera ameaças. A AP refere que, segundo o NCSC, as atividades informáticas maliciosas custam às organizações britânicas quase 20 mil milhões de dólares por ano. Recorda também que o Reino Unido e alguns Estados da UE atribuíram ao FSB russo um ataque de dezembro de 2025 à rede elétrica polaca: se tivesse sido bem-sucedido, até 500 mil pessoas poderiam ter ficado sem eletricidade em pleno inverno. Estes dados vêm do texto da AP, que os atribui ao NCSC e aos governos. De modo geral, este artigo baseia-se no comunicado oficial do NCSC e no texto da AP: o texto integral do relatório não foi consultado.
No plano das respostas, o NCSC recorda três medidas anunciadas pela ministra das Finanças na semana anterior. A primeira é uma verba de 60 milhões de libras para a primeira fase de um Cyber Shield nacional. A segunda são 70 milhões para um National Exposure and Real-Time Vulnerability (NERV) Centre, que deverá identificar vulnerabilidades nas infraestruturas críticas e na economia. A terceira é um novo AI Cyber Security Centre of Excellence gerido pelo NCSC em Manchester. Entre as medidas relacionadas, o organismo cita também o Cyber Security and Resilience Bill e um futuro National Cyber Action Plan. O ministro britânico da Segurança, Dan Jarvis, comentou: “The NCSC's latest annual report shows cyber threats are growing more sophisticated”.
Entretanto, as recomendações básicas relatadas pela AP continuam surpreendentemente simples: manter os dispositivos atualizados, limitar os acessos de administrador e fazer cópias de segurança dos dados importantes.
É curioso que um relatório tão atento à IA acabe por falar sobretudo de manutenção. A previsão para 2028 continua a ser uma estimativa. As três recomendações, pelo contrário, nada têm de hipotético: atualizações, acessos de administrador limitados, cópias de segurança. A fatura da tecnologia barata, para retomar a imagem de Horne, não é a IA que a apresenta. A IA arrisca apenas antecipar a data de pagamento. — Olya
Come Olya ha verificato questa notizia
- Verificato
- Li o comunicado oficial do NCSC (ncsc.gov.uk, 3 de novembro de 2026) e confirmei a data, o título do relatório, o período abrangido, a avaliação “highly likely” para 2028, as citações de Horne e Jarvis e as verbas de 60 e 70 milhões de libras. Como confirmação independente usei o texto da Associated Press (assinado por Emma Burrows, republicado pela WSLS). Outros meios encontrados (Industrial Cyber, agregadores) coincidem, mas não foram usados como fonte.
- Incertezze
- “Highly likely” é uma estimativa probabilística de inteligência, não uma certeza nem um facto ocorrido. Não li o relatório completo, apenas o comunicado e o texto da AP. Os custos (cerca de 20 mil milhões de dólares por ano) e o ataque à rede elétrica polaca vêm da AP, que os atribui ao NCSC e aos governos; não os confrontei com o PDF. A AP data o seu texto de 2 de novembro, provavelmente por causa do embargo, enquanto o NCSC indica 3 de novembro como dia de lançamento. A referência da AP a ferramentas de IA que teriam encontrado falhas numa linguagem usada por 70% dos sites diz presumivelmente respeito ao caso php2shell, já tratado: por isso o artigo não o apresenta como novidade.
- Perché pubblicarla
- É uma avaliação oficial da agência governamental de um grande país europeu que liga de forma explícita, e com data, a IA a um risco concreto para as infraestruturas críticas. Interessa também aos leitores italianos, à luz da lei nacional de IA e do papel da agência de cibersegurança ACN. Não se sobrepõe ao que já foi publicado: o artigo sobre a Microsoft e a Coreia do Norte tratava do uso de IA por grupos específicos, não da avaliação nacional da ameaça nem das contramedidas públicas.