O mundo ficou sabendo com relativa rapidez que a empresa de segurança cibernética CrowdStrike estava por trás de uma paralisação tecnológica global ocorrida na sexta-feira (19). Mas descobrir quem pagará a conta pelos danos pode levar muito mais tempo.
Segundo especialista em segurança cibernética, o que parece ser a “maior interrupção de TI da história” levou ao cancelamento de mais de 5.000 voos de companhias aéreas comerciais em todo o mundo e interrompeu negócios, desde vendas no varejo até entregas de pacotes e procedimentos em hospitais, custando receita, tempo e produtividade da equipe.
O problema foi causado por alguns bits de código incorreto da própria CrowdStrike em uma “atualização de conteúdo” de software. Infelizmente, consertar o erro consumiu muito mais tempo do que causá-lo, e pode levar dias até que todos os sistemas voltem ao normal.
Embora a CrowdStrike tenha se desculpado, ela não mencionou se pretende ou não fornecer uma indenização aos clientes afetados. E quando perguntado pela CNN se planeja fornecer uma indenização, sua resposta não abordou essa questão.
Os especialistas dizem que esperam que haja pedidos de indenização e, muito possivelmente, ações judiciais. “Se você for advogado da CrowdStrike, provavelmente não aproveitará o resto do seu verão”, disse Dan Ives, analista de tecnologia da Wedbush Securities.
Conta de bilhões de dólares
A maioria dos especialistas concorda ser muito cedo para ter um controle firme sobre o preço do colapso global da Internet na sexta-feira. Mas esses custos poderiam facilmente ultrapassar US$ 1 bilhão, disse Patrick Anderson, CEO do Anderson Economic Group, empresa de pesquisa especializada em estimar o custo econômico de eventos como greves e outras interrupções de negócios.
Sua empresa estima que uma recente invasão da CDK Global, empresa de software que atende a concessionárias de automóveis nos EUA, atingiu a marca de US$ 1 bilhão em custos. Embora essa interrupção tenha durado muito mais tempo, cerca de três semanas, ela foi restrita a um setor específico.
“Essa interrupção está afetando um número muito maior de consumidores e empresas de uma forma que varia de inconveniência a sérias interrupções e resultou em custos do próprio bolso que não poderão ser recuperados facilmente”, disse ele.
Anderson acrescentou que os custos podem ser particularmente significativos para as companhias aéreas, devido à perda de receita com voos cancelados e custos excessivos de mão de obra e combustível para os aviões que voaram, mas enfrentaram atrasos significativos.
Apesar do domínio da CrowdStrike no campo da segurança cibernética, sua receita é de pouco menos de US$ 4 bilhões por ano.
Mas pode haver proteções legais para a CrowdStrike em seus contratos com clientes para protegê-la de responsabilidade, de acordo com um especialista.
“Eu diria que os contratos os protegem”, disse James Lewis, pesquisador do Center for Strategic and International Studies.
Lewis apontou para um caso decidido na quinta-feira em favor da SolarWinds, outra empresa de software. Um juiz rejeitou as acusações da Securities and Exchange Commission contra a SolarWinds relacionadas a um hack russo de agências do governo federal no final de 2020.
Lewis disse que, nesse caso, a SolarWinds estava enfrentando acusações apenas por não divulgar as vulnerabilidades de seu sistema a um hack externo, e não por danos causados por suas próprias ações. Mas, mesmo assim, a empresa conseguiu a rejeição do caso.
Os clientes permanecerão?
Também não está claro quantos clientes a CrowdStrike poderá perder por causa de sexta-feira. Ives, da Wedbush Securities, estima que menos de 5% de seus clientes poderão ir para outro lugar.
“Eles são um player tão arraigado que se afastar da CrowdStrike seria uma aposta”, disse ele.
Será difícil, e não sem custos adicionais, para muitos clientes mudar do CrowdStrike para um concorrente. Mas o verdadeiro golpe para a CrowdStrike pode ser um dano à reputação que dificultará a conquista de novos clientes.
“Hoje, a CrowdStrike se tornou um nome conhecido, mas não de uma maneira boa, e isso levará algum tempo para se estabelecer”, disse Ives.
O CEO da CrowdStrike, George Kurtz, disse em entrevista na manhã de sexta-feira na CNBC que a empresa tem se concentrado em consertar os problemas contínuos e que, até agora, ele acredita que a maioria dos clientes tem sido compreensiva.
“Meu objetivo no momento é garantir que todos os clientes voltem a funcionar. Acho que muitos dos clientes entendem que é um ambiente complexo e que ficar um passo à frente dos bandidos exige essas atualizações de conteúdo”, disse ele.
Mas mesmo que os clientes sejam compreensivos, é provável que os rivais da CrowdStrike tentem usar os eventos de sexta-feira para tentar atraí-los.
“É um negócio muito competitivo. Haverá vendedores de todas as outras empresas (…) entrando e dizendo: ‘Isso nunca aconteceu conosco'”, disse Eric O’Neill, especialista em segurança cibernética e ex-agente de contrainteligência do FBI.
“Eles são uma excelente empresa que faz um trabalho importante. Espero que sobrevivam a isso. Se não sobreviverem, os únicos vencedores serão os criminosos cibernéticos”, concluiu ele.