O Larry ainda anda por cá

Na CyberForward 2026, em Hilversum, a Secretária de Estado Willemijn Aerdts abriu com um gancho que resultou: a história de Leisure Suit Larry. Um jogo, uma disquete, um vírus e um continente de organizações que não faziam a mínima ideia do que estava a correr nos seus sistemas. Ela usou-a para defender um argumento sobre onde estamos agora. A segurança digital, defendeu, é muito mais do que tecnologia. Exige colaboração entre disciplinas e setores. Ela tem razão. Mas a história do Larry merece um olhar mais atento, porque é mais atual do que possa parecer.

Se trabalhavas em TI no final dos anos oitenta, provavelmente lembras-te do jogo. Se não trabalhavas, aqui vai a versão curta: enfermeiras de um hospital neerlandês estavam a jogar uma cópia infetada no sistema de registo do estado dos pacientes. Bancos na Suíça, na Alemanha e em Inglaterra perderam grandes quantidades de dados. O vírus, conhecido por Jerusalem ou Sexta-feira 13, espalhava-se silenciosamente por cada ficheiro executável que tocava e, em cada Sexta-feira 13, começava a apagá-los.

Ninguém nessas organizações se propôs causar uma violação. Alguém simplesmente correu algo que não devia ter corrido, num equipamento que era suposto estar a fazer uma coisa completamente diferente. A organização pagou o preço porque não tinha qualquer visibilidade sobre o que estava realmente a acontecer dentro dos seus próprios sistemas.

Isso foi há quase 40 anos. A pergunta que Aerdts implicitamente levantou na CyberForward, e aquela sobre a qual vale a pena refletir depois, é se realmente aprendemos alguma coisa.

O Larry nunca mudou. Só mudou de roupa.

O vírus Jerusalem espalhava-se por disquetes. Hoje, o mecanismo é um separador do browser. Segundo o Data Breach Investigations Report de 2026 da Verizon, as deteções de shadow AI em ambientes empresariais quadruplicaram num único ano, com 45% dos colaboradores a usar agora regularmente ferramentas de IA em dispositivos corporativos. Dois terços dos profissionais de escritório admitem usar ferramentas de IA no trabalho apesar de acreditarem que a sua utilização é contra a política da empresa. Não o fazem para causar danos. Fazem-no porque torna o trabalho mais rápido e fácil. A mesma razão pela qual alguém meteu uma disquete de jogo no PC do escritório em 1988.

Os dados que saem por esses separadores do browser não são coisa pouca. Segundo o Cost of a Data Breach Report de 2025 da IBM, as violações que envolvem shadow AI custaram às organizações, em média, mais 70.000 do que outros incidentes, e demoraram em média 247 dias a ser detetadas. Quando um colaborador cola um ficheiro de cliente, um relatório financeiro ou uma minuta de contrato numa ferramenta de IA não verificada, esses dados entram num pipeline de processamento sobre o qual a organização nada sabe.

O Larry nunca se foi embora. Apenas atualizou o software.

Porque é que isto é relevante para conselhos de administração e equipas de gestão?

Seria fácil ler o parágrafo acima e entregá-lo ao departamento de TI. Essa seria a resposta errada.

A razão pela qual as organizações foram apanhadas de surpresa pelo Larry em 1988 não foi as suas equipas de TI serem incompetentes. Foi que ninguém tinha feito a pergunta estrutural: o que é que está realmente a correr neste edifício? Essa pergunta não era uma pergunta de TI. Era uma pergunta organizacional. A resposta exigia autoridade, política e uma cultura em que as pessoas se sentissem capazes de ser honestas sobre que ferramentas estavam de facto a usar.

O mesmo se aplica agora. As equipas de TI não conseguem governar o que não conseguem ver, e não conseguem ver o que os colaboradores instalam, ligam ou onde colam dados através das suas contas pessoais e ferramentas baseadas no browser. Essa lacuna não se fecha com mais uma firewall. Fecha-se com liderança.

Se és membro do conselho ou gestor e estás a ler isto, não és a vítima desta história. És a pessoa que a pode de facto mudar.

Aquilo em que Aerdts acertou: isto é um problema de colaboração

O enquadramento que Aerdts ofereceu na CyberForward não era sobre tecnologia. Era sobre como os Países Baixos, as suas organizações e os seus setores trabalham em conjunto para construir uma verdadeira resiliência digital. Esse é o enquadramento certo.

As organizações que vão lidar bem com a versão moderna do Larry não são necessariamente as que têm os maiores orçamentos de segurança. São aquelas em que o conselho faz perguntas incómodas, em que os colaboradores podem levantar preocupações sem medo, e em que alguém teve o cuidado de construir uma imagem do que está realmente a correr em todo o ambiente digital da organização. Essa imagem é o pré-requisito para tudo o resto. Não consegues priorizar o que não consegues ver.

Colaboração aqui significa algo específico. Significa o CISO e o CFO a terem a mesma conversa. Significa o gestor de TI e o diretor de RH a chegarem a acordo sobre o que conta como ferramenta aprovada. Significa o MSP ou parceiro de segurança ter visibilidade suficiente sobre o ambiente para fazer o seu trabalho como deve ser. Nada disto é um problema puramente técnico.

Como é que “ver o Larry” se traduz de facto em 2026?

A pergunta prática não é se a tua organização foi violada. É se saberias caso o tivesse sido. E se sabes o que está a correr no teu ambiente neste preciso momento.

Isso significa ter um inventário de ativos atualizado: não só servidores e firewalls, mas endpoints, serviços na cloud, aplicações SaaS e os dispositivos que as pessoas usam para se ligar. Significa saber que ferramentas de IA as tuas equipas estão a usar, oficial e extraoficialmente. Significa correr análises regulares para que novas vulnerabilidades venham à superfície antes de os atacantes as encontrarem. E significa tornar essa informação visível às pessoas que precisam de tomar decisões, e não apenas às pessoas que a geraram.

Uma breve nota sobre posicionamento: a Guardian360 constrói a plataforma Lighthouse, que ajuda as organizações e os seus parceiros a fazer exatamente isto. Estou consciente de que este é o meu interesse comercial e declaro-o abertamente. O argumento mantém-se de qualquer forma: as organizações que foram apanhadas de surpresa pelo Larry em 1988 não estavam a precisar de mais fechaduras. Estavam a precisar de uma janela.

A pergunta a levar para casa

Aerdts apelou à colaboração. É a palavra certa. Mas a colaboração exige uma imagem partilhada da realidade e, para a maioria das PME, essa imagem ainda está em falta. A ameaça não mudou em 40 anos. Uma pessoa dentro da organização, a fazer algo que parecia inofensivo, correu algo que não devia, numa máquina que era suposto estar a fazer outra coisa.

Aqui fica a pergunta sobre a qual vale a pena refletir: quando foi a última vez que perguntaste às tuas equipas que software e ferramentas de IA estão de facto a usar? Não o que consta da lista aprovada. O que está realmente a correr.

Se não consegues responder a isso com confiança, o Larry pode já andar por cá.