Investigação da Polícia Federal Revela Fragilidades Sistêmicas
O disparo de alertas falsos pela Defesa Civil para milhões de celulares em sete estados e no Distrito Federal no fim de semana trouxe à tona graves problemas de cibersegurança nos órgãos públicos brasileiros. Sob investigação da Polícia Federal, o incidente envolveu mensagens sobre suposta “misantropia” que foram disparadas a partir de credenciais vazadas da Interface de Divulgação de Alertas Públicos (Idap).
Especialistas em segurança da informação apontam que o ataque foi possível pela ausência de implementação de medidas básicas de proteção, incluindo autenticação de múltiplos fatores, verificação dupla de contas e restrições territoriais de acesso. Os dados do Gabinete de Segurança Institucional revelam que, de janeiro a maio deste ano, o governo registrou aproximadamente 45 incidentes cibernéticos por dia envolvendo seus órgãos.
Natureza do Ataque e Vulnerabilidades Exploradas
Informações preliminares indicam que os disparos ocorreram entre a noite de sexta-feira e madrugada de sábado, utilizando duas credenciais vazadas de agentes da Defesa Civil do Pará. Com esses acessos comprometidos, foi possível enviar alertas para capitais e estados inteiros, demonstrando a falta de compartimentalização das funções e restrições geográficas.
Luca Belli, professor da FGV Direito Rio e coordenador do Centro de Tecnologia e Sociedade, enfatiza que o Brasil comete erros básicos em cibersegurança. Segundo ele, o ataque não foi sofisticado ou executado por grupo criminoso organizado, mas provavelmente por um indivíduo que explorou uma falha simples. “Se fosse um ataque com motivação político-econômica, a mesma vulnerabilidade poderia ter sido explorada de forma muito mais maliciosa”, afirma.
Deficiências Críticas Identificadas
Um relatório do Tribunal de Contas da União de final de 2024 constatou que órgãos públicos federais estão vulneráveis a ataques hackers. Apenas 14 das 229 entidades avaliadas implementaram mais de 70% das medidas de segurança recomendadas. As principais deficiências incluem ausência de treinamento de pessoal e falta de sistemas adequados de autenticação.
A plataforma Idap deveria possuir níveis avançados de cibersegurança considerando sua natureza crítica. Aproximadamente 1.200 agentes operam o sistema em todo o país, distribuídos entre 180 instituições e 600 usuários entre estados e municípios.
Recomendações de Especialistas para Melhorias
Ronaldo Lemos, do Instituto de Tecnologia e Sociedade do Rio de Janeiro, destaca que o maior problema não está no número de pessoas com acesso ao sistema, mas na ausência de fatores de segurança fundamentais. Entre as medidas defendidas está a implementação de autenticação de duplo fator para todas as contas, renovação de credenciais a cada três meses e supervisão em dois níveis hierárquicos antes do envio de qualquer mensagem.
Belli, da FGV, também aponta falhas regulatórias brasileiras que contribuem para esse cenário de fragilidade. O país carece de uma agência específica responsável por fiscalizar a adoção de medidas de cibersegurança nos órgãos públicos e mecanismos para responsabilizar falhas. Em abril, o Comitê Nacional de Cibersegurança propôs uma Lei Geral de Cibersegurança com sanções administrativas.
Cenário de Ataques Crescentes ao Governo
O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo contabilizou 6.774 incidentes em redes governamentais até 31 de maio, com 14.006 vulnerabilidades identificadas apenas neste ano. O aumento ocorre devido a maior capacidade de detecção e à maior digitalização de serviços públicos, que tornaram o governo alvo natural de cibercriminosos.
Exemplos recentes demonstram o impacto devastador desses ataques: em 2020, o Superior Tribunal de Justiça enfrentou infecção por vírus que causou cancelamento de sessões de julgamento; em 2024, pacientes do Instituto Nacional do Câncer tiveram consultas canceladas após invasão do sistema; o Sistema Integrado de Administração Financeira foi alvo de roubo de R$ 15 milhões; e um ataque a empresa de tecnologia desviou R$ 800 milhões de instituições financeiras.
Principais Tipos de Ataques Registrados
Dos incidentes identificados em 2024, 48% foram classificados como engenharia social, quando criminosos utilizam manipulação para executar ações maliciosas, como envio de páginas falsas para roubo de senhas. Outros 46% foram classificados como “conteúdo abusivo”, incluindo divulgação de informações não solicitadas ou nocivas. Apenas 2% dos casos foram intrusões diretas com tentativa de acesso malicioso a redes e sistemas.
