Resumo

  • O National KE-CIRT/CC do Quênia relatou 2.696.335.021 eventos de ameaça cibernética detectados em julho–setembro de 2026, alta de 14,45% ante o trimestre anterior.
  • Foram emitidos 20.258.111 alertas, queda de 2,36%; o relatório não define a unidade de evento nem explica como uma detecção vira um alerta.

O relatório de cibersegurança mais recente do Quênia põe dois números enormes lado a lado. Os eventos de ameaça detectados chegaram a 2.696.335.021. Os alertas emitidos caíram para 20.258.111. O primeiro total subiu 14,45% em relação a abril–junho; o segundo recuou 2,36%.

As duas curvas andaram em sentidos opostos. Essa é a pergunta que interessa. Também é o ponto em que a aritmética do relatório deveria dar lugar ao método operacional.

O National KE-CIRT/CC, ligado à Communications Authority of Kenya, chama a primeira medida de “eventos de ameaça cibernética detectados” e diz que os alertas foram emitidos “em resposta” a esses eventos. O relatório de julho–setembro não publica um dicionário de dados, regra de deduplicação, escopo de coleta nem vínculo entre evento e alerta. Há totais; falta a mecânica do contador.

O trimestre anterior torna a diferença mais clara. De abril a junho, o centro informou 2.355.938.192 eventos detectados, queda de 30,03%, enquanto os alertas subiram para 20.748.489, alta de 0,81%. No trimestre seguinte, as direções se inverteram: mais eventos, menos alertas. Cada série pode ter utilidade própria. O registro público não explica como elas se relacionam.

Os subtotais de eventos fecham exatamente com o total. “Ataques de sistema” somaram 2.552.948.966, cerca de 94,7% dos 2.696.335.021 eventos. A tabela também registra 70.800.154 eventos de malware, 44.949.518 de força bruta, 27.435.527 de ataques a aplicações web, 177.732 a aplicações móveis e 23.124 ataques DDoS. Qualquer leitor pode refazer a soma.

Os subtotais de alertas também fecham: 8.379.145 para ataques de sistema, 10.380.579 para aplicações web, 916.418 para força bruta, 549.931 para malware, 18.837 para aplicações móveis e 13.201 para DDoS. O relatório apresenta um livro-caixa por categoria. Não apresenta a regra que transforma um livro no outro.

Para uma operadora, essa diferença é concreta. Um registro de sensor, um ataque distinto, uma invasão confirmada, um incidente e um alerta são unidades diferentes. Uma campanha pode tocar muitos sistemas; um sensor ruidoso pode registrar a mesma atividade repetidas vezes; um alerta pode cobrir uma família inteira de eventos. O documento não diz que unidade alimenta seu contador nem como esses casos são tratados.

Sem essa ponte, a alta trimestral chama atenção, mas não informa a um diretor de segurança se a exposição aumentou, se a coleta melhorou, se a classificação mudou ou se a mesma atividade gerou mais registros. O relatório cita atualização de sistemas, credenciais e falhas em aplicações web, mas não liga os 2,7 bilhões de registros a operadoras afetadas ou a resultados nos serviços.

A Autoridade começou a preparar uma plataforma nacional de compartilhamento de inteligência de ameaças. O relatório cita treinamento, revisão dos arranjos atuais, planejamento de um painel nacional de CTI e um plano de ação inicial. É a hora de desenhar os comprovantes desse painel: o que entra no contador, como duplicatas são tratadas, quando uma categoria muda e quais alertas saem depois.

O Quênia não precisa de um número menor. Precisa de um número que uma operadora possa auditar. O relatório atual entrega uma soma precisa sem publicar o que é um evento. Dá para preencher uma página; não para definir o orçamento de uma resposta.

Fontes