Em abril, o Conselho de Revisão de Segurança Cibernética (CSRB, na sigla em inglês), sob a tutela do Departamento de Segurança Interna dos EUA, disse num relatório que a intrusão nos servidores da Microsoft se deveu a uma “cascata de erros evitáveis” por parte da empresa.

“A Microsoft assume a responsabilidade por todos os problemas citados no relatório do CSRB. Sem equívocos ou hesitações. E sem qualquer sentimento de defesa”, disse Smith, na quinta-feira, perante a comissão de Segurança Nacional da Câmara dos Representantes.

“Reconhecemos que podemos e devemos fazer melhor e pedimos desculpas e expressamos o nosso mais profundo pesar àqueles que foram afetados” disse na câmara baixa do parlamento dos EUA o dirigente da empresa fundada por Bill Gates.

Smith adiantou que a Microsoft já está a aplicar 16 das 25 recomendações de segurança feitas pelo CRSB, quatro dirigidas especificamente à empresa e 12 aos fornecedores de serviços em nuvem, e que tomaram outras medidas para impedir novos ataques.

O responsável disse que a empresa lançou, em novembro, uma iniciativa “para agir com base nessa aprendizagem”, ampliada em janeiro, “após um ataque agressivo” dos serviços secretos da Rússia.

Smith sublinhou o “papel único” e o “dever coletivo” que a Microsoft desempenha na proteção da segurança cibernética dos EUA.

“No mundo de hoje, a nação dos Estados Unidos não pode proteger-se sem proteger o domínio cibernético”, acrescentou.

Após uma investigação de sete meses, o CSRB acusou o grupo de espionagem cibernética Storm-0558, afiliado à China, de aceder aos correios eletrónicos oficiais e pessoais da secretária de Estado do Comércio, Gina Raimondo, e do embaixador dos EUA na China, Nicholas Burns.

A operação de pirataria cibernética foi descoberta pelo Departamento de Estado dos EUA em junho de 2023.

A Microsoft fornece serviços de computação remota em nuvem, como Azure ou Office360, incluindo o armazenamento de dados confidenciais para empresas e governos.

O vice-presidente do CSRB, Dmitri Alperovitch, descreveu o Storm-0558 e outros grupos semelhantes como uma “ameaça persistente e perniciosa” com “a capacidade e a intenção de comprometer sistemas de identidade para aceder a dados confidenciais, incluindo emails de pessoas de interesse para o Governo chinês”.