'Misantropia': CPF de servidor público foi usado como senha para invadir sistema da Defesa Civil, diz suposto hacker

Um incidente de segurança cibernética de grande repercussão abalou o sistema da Defesa Civil brasileira, resultando no envio de alertas extremos com a palavra ‘misantropia’ para dez estados do país. A suposta invasão, ocorrida na madrugada do último sábado (20), teria utilizado dados cadastrais de três bombeiros militares do Pará, que também atuam na Defesa Civil do Estado.

A informação crucial que veio à tona é que uma das senhas utilizadas para acessar a Interface de Divulgação de Alertas Públicos (Idap) seria o próprio CPF de um dos servidores públicos afetados. O caso foi atribuído ao anônimo ‘Misantropo’, que reivindicou a autoria dos envios indevidos em seu perfil na plataforma X (antigo Twitter).

As credenciais que teriam sido empregadas na invasão foram compartilhadas por Misantropo, revelando os acessos de três servidores. Um deles possuía permissões para alertar oito estados, outro estava autorizado a enviar alertas para o Rio de Janeiro e um terceiro, para Curitiba. A conta com maior abrangência de acesso foi inclusive exposta em um vídeo de ‘bastidores’ da invasão, publicado pelo próprio Misantropo, permitindo a identificação do titular.

O cadastro de maior impacto, que teria sido utilizado no envio dos alertas para múltiplos estados, pertence a um 2º Sargento do Corpo de Bombeiros Militar do Pará (CBMPA), que também é especialista e pesquisador na Coordenadoria Estadual de Defesa Civil do Estado do Pará (CEDEC/PA). Segundo o suposto hacker, a senha para este acesso era o próprio CPF do sargento, e o sistema não exigia autenticação em múltiplos fatores, apenas uma simples verificação matemática, como ‘2+2’.

Os outros dois cadastros supostamente comprometidos pertencem a dois 3º Sargentos do CBMPA, também atuantes na CEDEC/PA. Embora utilizassem senhas ‘únicas’ em vez do CPF, estas eram consideradas extremamente simples. Uma delas consistia em uma combinação de oito dígitos, possivelmente uma data de nascimento, e a outra parecia ser uma abreviação de nome seguida de quatro dígitos. Tais combinações, mesmo que criptografadas, poderiam ser ‘quebradas’ em minutos por programas especializados em cenários de interceptação de dados.

Um ponto alarmante é que as credenciais utilizadas na suposta invasão do Idap já estavam em texto simples, ou seja, sem qualquer criptografia que exigisse um passo extra para seu uso. Isso sugere que o conjunto de dados vazado foi previamente descriptografado ou coletado sem proteção, expondo a fragilidade do sistema desde a origem.

A Polícia Federal, procurada para comentar o caso, afirmou que não se manifesta sobre investigações em andamento. O Ministério da Integração e do Desenvolvimento Regional, por sua vez, confirmou que uma investigação está em curso e que a Secretaria Nacional de Proteção e Defesa Civil está colaborando. O secretário Nacional de Proteção e Defesa Civil, Wolnei Wolff, informou que o sistema Idap está sem previsão de retorno e que as credenciais comprometidas foram atualizadas.

Por que o sistema do Idap exigiu apenas contas matemáticas para verificar o acesso?

A medida de segurança, popularmente conhecida como ‘captcha’, tem como objetivo principal evitar tentativas automatizadas de acesso por programas maliciosos. Ao solicitar que o usuário resolva uma questão matemática ou identifique objetos em imagens, o sistema tenta verificar se há um ser humano por trás da interação. Contudo, as soluções modernas de cibersegurança, tanto as legítimas quanto as utilizadas por criminosos, já estão adaptadas para simular o comportamento humano, conseguindo driblar recursos de verificação mais simples como este.

Por essa razão, os métodos de autenticação em múltiplos fatores (MFA) são cruciais. Eles funcionam como uma segunda camada de proteção, exigindo que o usuário utilize outro aplicativo ou dispositivo para confirmar a legitimidade do acesso, mesmo que a senha principal seja comprometida. Infelizmente, nem sempre o MFA é ativado por padrão nos sistemas.

Entre as opções de MFA, as notificações por SMS ou e-mail são populares, mas possuem brechas de segurança, especialmente se o invasor obtiver acesso ao dispositivo ou ambiente afetado. As alternativas mais seguras e práticas são os aplicativos dedicados de autenticação, como Google Authenticator ou Proton Authenticator, que fornecem códigos temporários que expiram rapidamente. No entanto, é fundamental que o sistema acessado ofereça suporte a esses recursos e que o usuário realize a configuração adequada.

O incidente ressalta a importância crítica de políticas de segurança robustas, incluindo o uso de senhas complexas e a implementação obrigatória de autenticação em múltiplos fatores, especialmente em sistemas que lidam com informações sensíveis ou alertas públicos de grande alcance. A vulnerabilidade exposta no sistema da Defesa Civil serve como um alerta para a necessidade de constante atualização e reforço das defesas cibernéticas em todas as esferas governamentais.