Uma auditoria federal condenatória expôs falhas profundas de cibersegurança no cerne da infraestrutura de aviação dos Estados Unidos, revelando que a Federal Aviation Administration deixou dezenas de seus sistemas mais críticos para a segurança perigosamente desprotegidos, aumentando a possibilidade de um ciberataque catastrófico nos céus do país.

O Office of the Inspector General (OIG) do Department of Transportation publicou as conclusões no início deste mês, após uma revisão conduzida entre outubro de 2024 e janeiro de 2026.

A auditoria avaliou os 45 sistemas de tecnologia da informação de alto impacto da FAA dentro do National Airspace System (NAS), espinha dorsal da aviação civil dos EUA, abrangendo torres de controle de tráfego aéreo, navegação, comunicações e infraestrutura aeroportuária.

São sistemas que o National Institute of Standards and Technology (NIST) classifica como representando risco severo ou catastrófico se comprometidos.

O que a autoridade de fiscalização encontrou foi alarmante.

{{AD}}

O relatório do OIG afirmou que 15 dos 45 sistemas da FAA ainda estão alinhados a padrões NIST desatualizados e que a FAA não implementou completamente 1.836 dos 16.245 controles de segurança exigidos, 11,3% do total.

Esses controles exigidos abrangem testes de penetração, proteção da cadeia de suprimentos e gestão de acesso, os próprios mecanismos projetados para manter atores hostis afastados.

O OIG constatou que todos os sistemas que suportam automação, comunicação, navegação e capacidades meteorológicas tinham vulnerabilidades que não foram relatadas, monitoradas e mitigadas no sistema departamental, enquanto 14 dos 17 sistemas de vigilância apresentavam o mesmo problema. 

Para piorar a situação, a FAA tem contornado totalmente a infraestrutura oficial do governo para rastreamento de cibersegurança.

Em vez de usar o sistema principal do departamento para avaliação e gestão de cibersegurança, a FAA tem utilizado uma ferramenta interna de rastreamento para documentar e gerenciar vulnerabilidades, transferindo manualmente os dados para o sistema federal, o que causa atrasos nos relatórios.

O OIG foi inequívoco sobre o que isso significa: 

"FAA is not providing transparency to the rest of DOT. Lack of transparency increases the risk that FAA and the Department may not be able to identify common threats and vulnerabilities or provide comprehensive IT weakness tracking and reporting." 

A auditoria também concluiu que a própria documentação da FAA não é confiável.

Auditores disseram que alguns controles foram marcados como implementados mesmo quando não atendiam aos requisitos, deixando os responsáveis sem informações confiáveis sobre como as salvaguardas estavam realmente operando. 

A magnitude do risco dificilmente poderia ser maior.

Em janeiro de 2023, um arquivo de banco de dados corrompido no sistema Notice to Air Missions (NOTAM) provocou a primeira paralisação nacional de voos desde 11 de setembro de 2001, atrasando quase 10.000 voos.

Embora essa interrupção tenha sido causada por um erro de um contratado e não por um ciberataque, a auditoria deixa claro que uma intrusão deliberada explorando as falhas documentadas poderia produzir consequências de igual ou maior magnitude. 

{{REC}}

Não é a primeira vez que o OIG soa este alarme.

Uma auditoria do OIG de 2021 já havia constatado que a FAA não vinha cumprindo os padrões de segurança do NIST após redesignar o NAS como um sistema de alto impacto.

Uma investigação separada do Government Accountability Office em 2024 concluiu que 105 dos 138 sistemas de controle de tráfego aéreo da FAA eram "insustentáveis".

O padrão é claro, e a resposta tem sido consistentemente insuficiente.

A FAA afirmou que as lacunas de governança decorrem de limitações de financiamento, restrições técnicas e complexidades operacionais, observando que muitos de seus sistemas existentes exigiriam modificações técnicas significativas ou aquisições totalmente novas, levando a estouros de custo e atrasos nos cronogramas.

Para os críticos, essa explicação soa vazia diante da magnitude do risco envolvido.

Sem correções, o OIG advertiu que "a FAA não pode garantir que as salvaguardas exigidas estejam em vigor para proteger os sistemas de serem comprometidos, o que pode causar um impacto severo no NAS e no público que voa."

A FAA, por sua vez, aceitou a responsabilidade.

"Com base em nossa revisão do rascunho do relatório, concordamos com as quatro recomendações conforme apresentadas e planejamos implementá-las totalmente até 31 de dezembro de 2026," disse a FAA em resposta à auditoria. 

O Congresso tem atuado ativamente sobre a questão.

Por meio do FAA Reauthorization Act de 2024, sancionado em maio de 2024, o Congresso concedeu à FAA autoridade exclusiva para elaborar normas sobre cibersegurança na aviação e instruiu a agência a estabelecer processos de gestão de ameaças cibernéticas para o NAS.

A FAA desde então emitiu, em março de 2026, uma pesquisa de mercado sobre cibersegurança para identificar fornecedores que possam ajudar a modernizar a segurança do NAS, como parte de seu compromisso mais amplo de entregar um novo sistema de controle de tráfego aéreo até o final de 2028. 

{{AD}}

Entre as promessas mais proativas da agência, a FAA também planeja migrar a infraestrutura de seus sistemas NAS, ATC e de TI para criptografia pós-quântica, um conceito centrado na mitigação de ataques de futuros computadores quânticos por meio da adoção de novos métodos de criptografia.

A agência enquadrou a mudança de forma direta em sua própria solicitação de mercado:

 “Sem segurança resistente a quantum e cripto-ágil, o NAS não pode alcançar a confiabilidade, o desempenho ou a liderança internacional exigidos nas próximas décadas.”

Se essas ambições poderão ser realizadas antes que um agente de ameaça explore o que o OIG já documentou continua sendo a questão central e, para os milhões de passageiros que voam pelos céus americanos a cada dia, uma questão desconfortavelmente em aberto.