Sellafield terá de pagar quase £ 400.000 depois de se declarar culpado de acusações criminais devido a anos de falhas de segurança cibernética na instalação nuclear mais perigosa da Grã-Bretanha.
O vasto depósito de lixo nuclear em Cúmbria deixou expostas informações que poderiam ameaçar a segurança nacional por quatro anos, segundo o regulador do setor, que apresentou as acusações. Verificou-se também que 75% dos seus servidores informáticos eram vulneráveis a ataques cibernéticos.
Sellafield não conseguiu proteger informações nucleares vitais, ouviu o tribunal de magistrados de Westminster, em Londres, na quarta-feira. O magistrado-chefe, Paul Goldspring, disse que depois de levar em conta a confissão de culpa de Sellafield e seu modelo de financiamento público, ele iria multá-lo em £ 332.500 por violações de segurança cibernética e em £ 53.200 por custos de processo.
A estatal já pediu desculpas pelas falhas de segurança cibernética. Ele implorou culpado às acusações – que dizem respeito a crimes de segurança informática que abrangem um período de quatro anos, de 2019 a 2023 – quando foram apresentadas pelo Gabinete de Regulação Nuclear (ONR) em junho.
Goldspring disse que o caso se enquadra em uma categoria “que beira a negligência” e “abandono de responsabilidades”.
Sellafield também pode “previsivelmente ter causado danos” e uma perda de dados poderia “ter tido enormes riscos e consequências adversas para os trabalhadores, o público e o ambiente”, disse ele.
Sellafield, que tem uma força de trabalho de cerca de 11 mil pessoas, é um extenso depósito de lixo na costa da Cúmbria que armazena e trata décadas de resíduos nucleares provenientes de programas de geração de energia atômica e de armas. É o maior armazém de plutónio do mundo e faz parte da Autoridade de Desmantelamento Nuclear, um quango detido e financiado pelos contribuintes.
No final do ano passado, o Guardian Vazamentos Nucleares A investigação revelou uma série de falhas de TI na empresa estatal, que remontam a vários anos, bem como contaminação radioativa e uma cultura tóxica no local de trabalho. O Guardian informou que os sistemas do site foram hackeado por grupos ligados à Rússia e à Chinaincorporando malware dormente que pode se esconder e ser usado para espionar ou atacar sistemas.
A investigação do Guardian revelou que os servidores de computador de Sellafield foram considerados tão inseguros que o problema foi apelidado de “Voldemort”, em homenagem ao vilão de Harry Potter, por ser delicado e perigoso. Ele também revelou preocupações sobre a possibilidade de prestadores de serviços externos conectarem cartões de memória em seu sistema sem supervisão.
Na sentença, Goldspring acrescentou que a acusação não apresentou qualquer prova de um ataque cibernético bem-sucedido, mesmo tendo afirmado que era impossível para Sellafield provar que a instalação nuclear não tinha sido “efetivamente atacada”.
Como resultado, o tribunal só poderia condenar Sellafield com base no facto de não haver provas de danos “reais” decorrentes de quaisquer ataques.
A multa foi reduzida em um terço porque a instalação nuclear se declarou culpada na primeira oportunidade. O juiz também observou que Sellafield tem procurado melhorar a sua segurança cibernética nos últimos meses. A multa foi ainda mais reduzida, uma vez que depende, em última análise, de financiamento público para funcionar como uma empresa sem fins lucrativos.
Numa audiência anterior, em Agosto, Goldspring tinha dito que, embora todas as partes afirmassem que as falhas eram muito graves, ele precisaria de equilibrar o custo para o contribuinte com a necessidade de dissuadir outros no sector de cometerem crimes semelhantes ao decidirem a dimensão dos impostos. a multa.
Nessa audiência, o tribunal ouviu que um teste descobriu que era possível descarregar e executar ficheiros maliciosos nas redes informáticas de Sellafield através de um ataque de phishing “sem disparar qualquer alarme”, segundo Nigel Lawrence KC, representando o ONR.
Uma empresa de TI externa, Commissum, descobriu que qualquer “hacker razoavelmente qualificado ou insider mal-intencionado” poderia acessar dados confidenciais e inserir malware que poderia então ser usado para roubar informações em Sellafield.
Euan Hutton, executivo-chefe da Sellafield, pediu desculpas pela falha e disse que acredita “genuinamente” que “as questões que levaram a este processo estão no passado”.
Paul Fyfe, diretor sênior de regulamentação da ONR, disse: “Saudamos as confissões de culpa da Sellafield Ltd.
após a promoção do boletim informativo
“Foi aceite que a capacidade da empresa para cumprir certas obrigações ao abrigo dos Regulamentos de Segurança das Indústrias Nucleares de 2003 durante um período de quatro anos era fraca.
“As falhas eram conhecidas há muito tempo, mas apesar das nossas intervenções e orientações, Sellafield não conseguiu responder de forma eficaz, o que a deixou vulnerável a violações de segurança e ao comprometimento dos seus sistemas.”
Houve, no entanto, “melhorias positivas” em Sellafield durante o último ano sob a nova liderança, acrescentou o ONR.
Um porta-voz de Sellafield disse: “Levamos a segurança cibernética extremamente a sério em Sellafield, conforme refletido em nossas confissões de culpa.
“As acusações referem-se a crimes históricos e não há nenhuma sugestão de que a segurança pública tenha sido comprometida.
“Sellafield não foi submetido a um ataque cibernético bem-sucedido.
“Já fizemos melhorias significativas nos nossos sistemas, redes e estruturas para garantir que estamos mais protegidos e mais resilientes.
“A ameaça cibernética está em constante evolução e continuaremos a trabalhar com o regulador para garantir que cumprimos os elevados padrões que nos são devidamente exigidos.”
O secretário de energia, Ed Miliband, disse: “Levamos muito a sério a segurança da nossa infraestrutura nacionalmente significativa e saúdo o facto de termos um regulador robusto que responsabiliza a nossa indústria nuclear.
“Escrevi ao chefe executivo da Autoridade de Desmantelamento Nuclear em busca de garantias de que as falhas de segurança cibernética em Sellafield estão a ser resolvidas e não podem acontecer novamente.”
