As instalações nucleares iranianas foram sabotadas desde 2009 por um vírus, mais precisamente um malware, denominado Stuxnet. Teerão reconheceu o facto, embora desvalorizando os efeitos. O "verme", detectado em Junho passado por uma empresa de segurança informática na Bielorrússia e depois analisado por vários organismos de segurança, revela uma inédita malignidade, mas não desvenda o seu mistério. É impossível dizer quem atacou e se o próprio ataque foi um sucesso. Os especialistas de segurança industrial estão aterrados. O Stuxnet marca "uma mudança de paradigma", garante a ENISA, a agência europeia de ciber-segurança.

O Stuxnet foi qualificado como "o primeiro cibermíssil teleguiado", para sabotar ou destruir instalações industriais, com especial apetência pelo nuclear iraniano. Já não se trata de espionagem. "É uma arma de guerra" que sai do mundo virtual e ataca no "mundo real". Quase fez esquecer o ciberataque lançado pela Rússia contra a Estónia, em 2007.

A infecção é transmitida por uma pen, a colocar numa qualquer porta USB. Um CD também serve. O Stuxnet visa apoderar-se dos sistemas de controlo usados em centrais eléctricas ou nucleares, fábricas químicas ou aeroportos. Alojou-se e viaja nos sistemas de controlo industriais da Siemens (SCADA), utilizados em todo o mundo - e nas centrais iranianas.

Evgueni Kaspersky, especialista russo de segurança, frisa o seu carácter inédito. "O seu fim não é roubar dinheiro, enviar spam, desviar dados pessoais. Foi concebido para sabotar e danificar sistemas industriais. É um ponto de viragem que nos faz entrar num novo mundo. Na década de 90, havia cibervândalos e, na de 2000, cibercriminosos. Estamos agora a entrar na década do ciberterrorismo, das ciberarmas e das ciberguerras."

O Financial Times deu conta do alarme mundial: o Stuxnet "poderá destruir gasodutos, avariar uma central nuclear ou fazer explodir uma fábrica". Os americanos frisaram a vulnerabilidade das suas redes eléctricas.

Em Agosto, foram detectados mais de 100 mil computadores ou sistemas infectados pelo Stuxnet - 60 por cento dos quais no Irão. O vírus atingiu a Índia, a Indonésia, a China, o Paquistão e a própria Alemanha. Fora do Irão apenas provocou (até agora) "danos colaterais".

A central nuclear iraniana de Bushehr, construída pela Rússia, foi infectada. A entrada em laboração foi adiada. Para o epecialista alemão Frank Rieger, a contaminação terá sido acidental, através de sistemas Siemens. O alvo "desenhado" no programa do Stuxnet seria a central de Natanz, onde o Irão enriquece urânio.

Natanz teve em 2009 visíveis quebras. Mas os problemas técnicos têm sido tantos que parece impossível determinar o impacto do vírus.

Quem criou o Stuxnet? Os "suspeitos do costume" são Israel e os EUA. A pista é lógica. A preparação de ciberataques contra o Irão é estimulada pela escassa viabilidade de um ataque aéreo dada a relutância dos EUA, declarou ao Yedioth Ahronoth um responsável israelita, em Julho de 2009. O americano Scott Borg, director do oficioso think-tank US Cyber Consequences Unit, corroborou: "A julgar pelos meus contactos com especialistas israelitas, (...) Israel pode ter definitivamente decidido criar avançadas capacidades de ciberataque."

Estando as instalações iranianas isoladas do exterior, os israelitas poderiam infectar o software usado pelos iranianos ou colocar o malware num portátil usado por um dos técnicos. "Bastaria uma pen USB contaminada", disse Borg.

O jornal referia a execução do iraniano Ali Ashtari, em fins de 2008, sob a acusação de ser espião israelita e fornecer equipamentos de comunicações sabotados para um dos projectos militares do Irão.

Os especialistas são quase unânimes em afirmar que o Stuxnet, dada a sua complexidade, apenas está ao alcance de um Estado. O resto é especulação. Muitos países têm meios para o fazer - Israel e EUA, Rússia e China, França ou Grã-Bretanha. Alguns admitem uma iniciativa israelo-americana com a colaboração alemã ou, até, da Índia. Blogues americanos insinuaram a possibilidade de uma campanha de marketing para convencer empresas e Estados a comprar novos produtos de segurança.

Ao contrário de um míssil, é extremamente difícil determinar a origem de um ciberataque.

Está por esclarecer "o que o warm Stuxnet tinha exactamente como alvo e é possível que não tenhamos ainda compreendido as consequências" futuras do ataque, previne Lee Smith, do Hudson Institute. Não se sabe se foi um furacão que já passou ou se vamos ter uma nova era de ansiedade e terror.

Estados e empresas vão reforçar os dispositivos de segurança. Os EUA levaram a efeito, no fim de Setembro, um exercício de simulação de ciberataques contra 1500 alvos civis e militares. Os custos da ciberguerra deverão elevar-se no futuro a dez por cento do orçamento da Defesa americano, um cálculo feito antes do Stuxnet.

A Economist faz duas observações sobre os limites desta arma. O ciberataque não substitui o ataque físico. O Stuxnet pode ter atrasado o programa do Irão, mas não dobrou a sua vontade. Depois, minou a ideia de que o Ocidente "seria mais a vítima do que o progenitor de um ciberataque".

Caroline B. Glick, do Jerusalem Post, faz uma síntese do ponto de vista de Israel. Primeiro, evoca o risco da proliferação: quando se lança uma nova tecnologia, mais tarde ou mais cedo será copiada. ? Uma ciberarma como o Stuxnet ameaça muito mais os Estados do que um actor não-estatal que venha a usá-la no futuro." Se começa por fortalecer, cria depois novas vulnerabilidades.

E adverte contra a tradição israelita de confundir inovação táctica com vantagem estratégica: "Se Stuxnet é uma arma israelita, ainda que constitua um grande feito, não é uma arma revolucionária. (...) Não muda fundamentalmente a posição estratégica de Israel e, por isso, não deverá ter impacto na [sua] doutrina estratégica."

Alguém terá aberto uma caixa de Pandora. Eric Chien, director da Symantec Security, declarou num fórum da Foreign Affairs: "Se há seis meses alguém me contasse a história do Stuxnet, eu teria desatado a rir. Era um enredo de filme. Infelizmente, ele aí está." Qual será o próximo verme?