O balan\u00e7o das investiga\u00e7\u00f5es de ciberataques decepciona. Os principais ataques hacker a \u00f3rg\u00e3os do governo durante a pandemia e a investiga\u00e7\u00e3o sobre o caso do “megavazamento” \u2013 a venda de dados pessoais de 223 milh\u00f5es de brasileiros na internet \u2013, ocorrido h\u00e1 cerca de um ano, ainda est\u00e3o sem resposta.<\/p>\n
Entres as ofensivas cibern\u00e9ticas mais recentes, a PF (Pol\u00edcia Federal) investiga o sequestro de dados do STJ (Superior Tribunal de Justi\u00e7a) e o vazamento do TSE (Tribunal Superior Eleitoral), ambos em novembro de 2020, o chamado megavazamento, denunciado em janeiro de 2021 pela empresa de seguran\u00e7a Psafe, e as invas\u00f5es a sistemas do Minist\u00e9rio da Sa\u00fade e outros \u00f3rg\u00e3os, em dezembro.<\/p>\n
At\u00e9 agora, foram presas ao menos quatro pessoas (sendo duas liberadas) relacionadas aos casos de TSE e da venda de pacotes de dados na internet, mas nenhuma a\u00e7\u00e3o efetiva sobre a seguran\u00e7a das informa\u00e7\u00f5es pessoais dos cidad\u00e3os, em especial no setor p\u00fablico.<\/p>\n
A ANPD (Autoridade Nacional de Prote\u00e7\u00e3o de Dados), respons\u00e1vel por fiscalizar o cumprimento de empresas e \u00f3rg\u00e3os p\u00fablicos \u00e0 lei de prote\u00e7\u00e3o de dados pessoais, diz aguardar respostas do Minist\u00e9rio da Sa\u00fade e relat\u00f3rios da PF na maioria dos casos.<\/p>\n
Estruturada no fim de 2020, a autoridade estava originalmente designada para ser uma autarquia independente, mas ficou ligada \u00e0 Casa Civil. Os diretores foram nomeados pelo presidente Jair Bolsonaro (PL).<\/p>\n
A lei determina as informa\u00e7\u00f5es dos titulares sejam protegidas do ponto de vista t\u00e9cnico, com seguran\u00e7a digital em sistemas e p\u00e1ginas da internet, e do contratual: dados n\u00e3o podem ser compartilhados com outras empresas ou \u00f3rg\u00e3os sem transpar\u00eancia ou consentimento do cidad\u00e3o, por exemplo.<\/p>\n
“No caso do Minist\u00e9rio da Sa\u00fade, estamos atuando para que se d\u00ea um retorno \u00e0 sociedade, aguardamos respostas sobre quem \u00e9 o encarregado [dos dados], como \u00e9 a quest\u00e3o de criptografia, entre outras. No meu entender, procedimentos de governan\u00e7a t\u00eam que ser revistos, assim como pol\u00edticas de senha. O vazamento \u00e0s vezes \u00e9 de dentro da empresa”, diz Waldemar Gon\u00e7alves Ortunho, diretor-presidente da ANPD.<\/p>\n
A venda de informa\u00e7\u00f5es pessoais se intensificou ap\u00f3s o megavazamento, que ocorreu h\u00e1 um ano, e a comercializa\u00e7\u00e3o de acesso a banco de dados \u00e9 pr\u00e1tica recorrente, como mostrou recente reportagem do jornal Folha de S.Paulo.<\/p>\n
Em janeiro de 2021, a empresa PSafe divulgou que dados como CPFs, endere\u00e7os e outras informa\u00e7\u00f5es de 223 milh\u00f5es de brasileiros, portanto incluindo pessoas mortas, estavam sendo comercializadas em f\u00f3runs da internet. Embora a venda de informa\u00e7\u00f5es seja comum, o que espantou os especialistas \u00e0 \u00e9poca foi a quantidade de informa\u00e7\u00f5es dos arquivos.<\/p>\n
Ainda que v\u00e1rias empresas tenham surgidos como suspeitas, a hip\u00f3tese mais forte \u00e9 que os dados tenham sido agregados ao longo de v\u00e1rios anos e por diversas fontes, n\u00e3o apenas uma.<\/p>\n
At\u00e9 o nome de “megavazamento” \u00e9 contestado na comunidade de seguran\u00e7a digital, j\u00e1 pressup\u00f5e que tenha sa\u00eddo de apenas uma origem. A hip\u00f3tese de que seja apenas uma fonte, entretanto, ainda n\u00e3o foi descartada.<\/p>\n
“As investiga\u00e7\u00f5es est\u00e3o avan\u00e7adas, chegaram em um nome em Uberl\u00e2ndia (MG), tiveram apreens\u00e3o de 4 terabytes de dados, que s\u00e3o investigados, mas n\u00e3o teve nada conclu\u00eddo at\u00e9 o momento”, diz Ortunho.<\/p>\n
Ele refere-se \u00e0 pris\u00e3o de um hacker conhecido como VandaTheGod, com hist\u00f3rico de invas\u00f5es reconhecido no mundo do cibercrime.<\/p>\n
Ele e outro suspeito, que depois foi liberado, tiveram pris\u00e3o preventiva decretada pelo ministro do Supremo Alexandre de Moraes por atua\u00e7\u00f5es pregressas.<\/p>\n
VandaTheGod chegou a escrever em uma rede social, antes de ser preso, que a origem do megavazamento n\u00e3o era o Serasa (uma das empresas questionadas \u00e0 \u00e9poca e que n\u00e3o verificou nenhum incidente em seus sistemas), mas outra empresa privada e ligada ao governo.<\/p>\n
O caso do STJ, em novembro de 2020, tamb\u00e9m est\u00e1 sem desfecho. Os sistemas do tribunal foram alvo de ransomware, sequestro de dados por criptografia e libera\u00e7\u00e3o mediante pagamento de resgate.<\/p>\n
Esse foi um dos crimes digitais com maior crescimento em 2021, conforme relat\u00f3rios de empresas de seguran\u00e7a. Entraram na mira empresas como JBS, nos Estados Unidos, que pagou US$ 11 milh\u00f5es (R$ 62 milh\u00f5es) a criminosos, e Renner e Embraer, no Brasil.<\/p>\n
Na ocasi\u00e3o do Judici\u00e1rio, ministros e servidores n\u00e3o conseguiram acessar seus emails e arquivos. Os sistemas foram recuperados apenas dez dias depois. Na \u00e9poca, a suspeita girava em torno de um CNPJ estrangeiro.<\/p>\n
No mesmo m\u00eas do STJ, o TSE foi alvo de vazamento. Os dados, no entanto, eram antigos. A pol\u00edcia cumpriu mandados de busca e apreens\u00e3o em S\u00e3o Paulo e Minas Gerais, al\u00e9m de um mandado de pris\u00e3o. Um hacker foi preso em Portugal e atua sob o codinome Zambrius.<\/p>\n
Os suspeitos do Brasil foram soltos pela pol\u00edcia e n\u00e3o teriam envolvimento direto com o vazamento, sendo apenas mencionados em uma amostra.<\/p>\n
Mesmo que as investiga\u00e7\u00f5es culminem em pris\u00f5es, o setor p\u00fablico demonstrou vulnerabilidade em seus sistemas, governan\u00e7a fr\u00e1gil ou inexistente para o tratamento de dados e pouco retorno \u00e0 sociedade, segundo o advogado Danilo Doneda, membro do conselho nacional de prote\u00e7\u00e3o de dados da ANPD.<\/p>\n
“S\u00e3o trag\u00e9dias anunciadas. Ao rapidamente culpar hackers, lavamos as m\u00e3os sobre a pr\u00f3pria responsabilidade do setor p\u00fablico. Os sistemas s\u00e3o invadidos, mas n\u00e3o deveriam ser”, afirma.<\/p>\n
Para Ortunho, o Brasil precisa de um “novo \u00f3rg\u00e3o de tratamento de incidentes, que deve ser bem pensado, com muita tecnologia e pessoal treinado, para que se detecte logo”. Al\u00e9m da PF na \u00e1rea criminal, o GSI (Gabinete de Seguran\u00e7a Institucional) investiga cibercrimes.<\/p>\n
Durante a pandemia, tamb\u00e9m houve hacking no TRF3 (Tribunal Regional Federal da 3\u00aa Regi\u00e3o), no TJ-RS (Tribunal Regional do Rio Grande do Sul), no Ex\u00e9rcito, no Senado, outros vazamentos no Minist\u00e9rio de Sa\u00fade, al\u00e9m de ofensivas menos graves a uma s\u00e9rie de sites governamentais.<\/p>\n
PRINCIPAIS ATAQUES RECENTES AO SETOR P\u00daBLICO E EMPRESAS BRASILEIRAS<\/strong> TSE, novembro de 2020 Embraer, dezembro de 2020 Megavazamento, janeiro de 2021 TRf3, fevereiro de 2021 TJ-RS, maio de 2021 Laborat\u00f3rio Fleury, junho de 2021 Lojas Renner, agosto de 2021 Minist\u00e9rio da Sa\u00fade e outros \u00f3rg\u00e3os, dezembro de 2021 FolhaPress<\/p>\n","protected":false},"excerpt":{"rendered":" O balan\u00e7o das investiga\u00e7\u00f5es de ciberataques decepciona. Os principais ataques hacker a \u00f3rg\u00e3os do governo durante a pandemia e a investiga\u00e7\u00e3o sobre o caso do “megavazamento” \u2013 a venda de dados pessoais de 223 milh\u00f5es de brasileiros na internet \u2013, ocorrido h\u00e1 cerca de um ano, ainda est\u00e3o sem resposta. Entres as ofensivas cibern\u00e9ticas mais recentes, a PF (Pol\u00edcia Federal) investiga o sequestro de dados do STJ (Superior Tribunal de Justi\u00e7a) e o vazamento do TSE (Tribunal Superior Eleitoral), ambos em novembro de 2020, o chamado megavazamento, denunciado em janeiro de 2021 pela empresa de seguran\u00e7a Psafe, e as invas\u00f5es a sistemas do Minist\u00e9rio da Sa\u00fade e outros \u00f3rg\u00e3os, em dezembro. At\u00e9 agora, foram presas ao menos quatro pessoas (sendo duas liberadas) relacionadas aos casos de TSE e da venda de pacotes de dados na internet, mas nenhuma a\u00e7\u00e3o efetiva sobre a seguran\u00e7a das informa\u00e7\u00f5es pessoais dos cidad\u00e3os, em especial no setor p\u00fablico. A ANPD (Autoridade Nacional de Prote\u00e7\u00e3o de Dados), respons\u00e1vel por fiscalizar o cumprimento de empresas e \u00f3rg\u00e3os p\u00fablicos \u00e0 lei de prote\u00e7\u00e3o de dados pessoais, diz aguardar respostas do Minist\u00e9rio da Sa\u00fade e relat\u00f3rios da PF na maioria dos casos. Estruturada no fim de 2020, a autoridade estava originalmente designada para ser uma autarquia independente, mas ficou ligada \u00e0 Casa Civil. Os diretores foram nomeados pelo presidente Jair Bolsonaro (PL). A lei determina as informa\u00e7\u00f5es dos titulares sejam protegidas do ponto de vista t\u00e9cnico, com seguran\u00e7a digital em sistemas e p\u00e1ginas da internet, e do contratual: dados n\u00e3o podem ser compartilhados com outras empresas ou \u00f3rg\u00e3os sem transpar\u00eancia ou consentimento do cidad\u00e3o, por exemplo. “No caso do Minist\u00e9rio da Sa\u00fade, estamos atuando para que se d\u00ea um retorno \u00e0 sociedade, aguardamos respostas sobre quem \u00e9 o encarregado [dos dados], como \u00e9 a quest\u00e3o de criptografia, entre outras. No meu entender, procedimentos de governan\u00e7a t\u00eam que ser revistos, assim como pol\u00edticas de senha. O vazamento \u00e0s vezes \u00e9 de dentro da empresa”, diz Waldemar Gon\u00e7alves Ortunho, diretor-presidente da ANPD. A venda de informa\u00e7\u00f5es pessoais se intensificou ap\u00f3s o megavazamento, que ocorreu h\u00e1 um ano, e a comercializa\u00e7\u00e3o de acesso a banco de dados \u00e9 pr\u00e1tica recorrente, como mostrou recente reportagem do jornal Folha de S.Paulo. Em janeiro de 2021, a empresa PSafe divulgou que dados como CPFs, endere\u00e7os e outras informa\u00e7\u00f5es de 223 milh\u00f5es de brasileiros, portanto incluindo pessoas mortas, estavam sendo comercializadas em f\u00f3runs da internet. Embora a venda de informa\u00e7\u00f5es seja comum, o que espantou os especialistas \u00e0 \u00e9poca foi a quantidade de informa\u00e7\u00f5es dos arquivos. Ainda que v\u00e1rias empresas tenham surgidos como suspeitas, a hip\u00f3tese mais forte \u00e9 que os dados tenham sido agregados ao longo de v\u00e1rios anos e por diversas fontes, n\u00e3o apenas uma. At\u00e9 o nome de “megavazamento” \u00e9 contestado na comunidade de seguran\u00e7a digital, j\u00e1 pressup\u00f5e que tenha sa\u00eddo de apenas uma origem. A hip\u00f3tese de que seja apenas uma fonte, entretanto, ainda n\u00e3o foi descartada. “As investiga\u00e7\u00f5es est\u00e3o avan\u00e7adas, chegaram em um nome em Uberl\u00e2ndia (MG), tiveram apreens\u00e3o de 4 terabytes de dados, que s\u00e3o investigados, mas n\u00e3o teve nada conclu\u00eddo at\u00e9 o momento”, diz Ortunho. Ele refere-se \u00e0 pris\u00e3o de um hacker conhecido como VandaTheGod, com hist\u00f3rico de invas\u00f5es reconhecido no mundo do cibercrime. Ele e outro suspeito, que depois foi liberado, tiveram pris\u00e3o preventiva decretada pelo ministro do Supremo Alexandre de Moraes por atua\u00e7\u00f5es pregressas. VandaTheGod chegou a escrever em uma rede social, antes de ser preso, que a origem do megavazamento n\u00e3o era o Serasa (uma das empresas questionadas \u00e0 \u00e9poca e que n\u00e3o verificou nenhum incidente em seus sistemas), mas outra empresa privada e ligada ao governo. O caso do STJ, em novembro de 2020, tamb\u00e9m est\u00e1 sem desfecho. Os sistemas do tribunal foram alvo de ransomware, sequestro de dados por criptografia e libera\u00e7\u00e3o mediante pagamento de resgate. Esse foi um dos crimes digitais com maior crescimento em 2021, conforme relat\u00f3rios de empresas de seguran\u00e7a. Entraram na mira empresas como JBS, nos Estados Unidos, que pagou US$ 11 milh\u00f5es (R$ 62 milh\u00f5es) a criminosos, e Renner e Embraer, no Brasil. Na ocasi\u00e3o do Judici\u00e1rio, ministros e servidores n\u00e3o conseguiram acessar seus emails e arquivos. Os sistemas foram recuperados apenas dez dias depois. Na \u00e9poca, a suspeita girava em torno de um CNPJ estrangeiro. No mesmo m\u00eas do STJ, o TSE foi alvo de vazamento. Os dados, no entanto, eram antigos. A pol\u00edcia cumpriu mandados de busca e apreens\u00e3o em S\u00e3o Paulo e Minas Gerais, al\u00e9m de um mandado de pris\u00e3o. Um hacker foi preso em Portugal e atua sob o codinome Zambrius. Os suspeitos do Brasil foram soltos pela pol\u00edcia e n\u00e3o teriam envolvimento direto com o vazamento, sendo apenas mencionados em uma amostra. Mesmo que as investiga\u00e7\u00f5es culminem em pris\u00f5es, o setor p\u00fablico demonstrou vulnerabilidade em seus sistemas, governan\u00e7a fr\u00e1gil ou inexistente para o tratamento de dados e pouco retorno \u00e0 sociedade, segundo o advogado Danilo Doneda, membro do conselho nacional de prote\u00e7\u00e3o de dados da ANPD. “S\u00e3o trag\u00e9dias anunciadas. Ao rapidamente culpar hackers, lavamos as m\u00e3os sobre a pr\u00f3pria responsabilidade do setor p\u00fablico. Os sistemas s\u00e3o invadidos, mas n\u00e3o deveriam ser”, afirma. Para Ortunho, o Brasil precisa de um “novo \u00f3rg\u00e3o de tratamento de incidentes, que deve ser bem pensado, com muita tecnologia e pessoal treinado, para que se detecte logo”. Al\u00e9m da PF na \u00e1rea criminal, o GSI (Gabinete de Seguran\u00e7a Institucional) investiga cibercrimes. Durante a pandemia, tamb\u00e9m houve hacking no TRF3 (Tribunal Regional Federal da 3\u00aa Regi\u00e3o), no TJ-RS (Tribunal Regional do Rio Grande do Sul), no Ex\u00e9rcito, no Senado, outros vazamentos no Minist\u00e9rio de Sa\u00fade, al\u00e9m de ofensivas menos graves a uma s\u00e9rie de sites governamentais. PRINCIPAIS ATAQUES RECENTES AO SETOR P\u00daBLICO E EMPRESAS BRASILEIRAS STJ, novembro de 2020 Ataque do tipo ransomware, com sequestro de m\u00e1quinas de ministros e de servidores; sistemas foram recuperados apenas dez dias depois. Dados da nuvem foram preservados TSE, novembro de 2020 Vazamento de dados. PF prendeu suspeitos; invas\u00e3o n\u00e3o tem rela\u00e7\u00e3o com seguran\u00e7a da urna eletr\u00f4nica Embraer, dezembro de 2020 Ransomware; empresa n\u00e3o<\/p>\n","protected":false},"author":6,"featured_media":238153,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"sfsi_plus_gutenberg_text_before_share":"","sfsi_plus_gutenberg_show_text_before_share":"","sfsi_plus_gutenberg_icon_type":"","sfsi_plus_gutenberg_icon_alignemt":"","sfsi_plus_gutenburg_max_per_row":"","footnotes":""},"categories":[12],"tags":[],"class_list":["post-238152","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-policia"],"_links":{"self":[{"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/posts\/238152","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/comments?post=238152"}],"version-history":[{"count":1,"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/posts\/238152\/revisions"}],"predecessor-version":[{"id":238154,"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/posts\/238152\/revisions\/238154"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/media\/238153"}],"wp:attachment":[{"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/media?parent=238152"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/categories?post=238152"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.caririemacao.com\/1\/wp-json\/wp\/v2\/tags?post=238152"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\nSTJ, novembro de 2020
\nAtaque do tipo ransomware, com sequestro de m\u00e1quinas de ministros e de servidores; sistemas foram recuperados apenas dez dias depois. Dados da nuvem foram preservados<\/p>\n
\nVazamento de dados. PF prendeu suspeitos; invas\u00e3o n\u00e3o tem rela\u00e7\u00e3o com seguran\u00e7a da urna eletr\u00f4nica<\/p>\n
\nRansomware; empresa n\u00e3o pagou resgate e dados foram vazados na internet, como contratos com outras empresas e planilhas internas com informa\u00e7\u00f5es de funcion\u00e1rios<\/p>\n
\nDenunciado pela empresa PSafe, epis\u00f3dio foi marcado por um grande pacote de dados agregados vendido tanto da deep web (internet n\u00e3o indexada a motores de busca) como em f\u00f3runs de acesso simples<\/p>\n
\nInvas\u00e3o do sistema do tribunal para altera\u00e7\u00e3o de documentos visando favorecimento pessoal; uma pessoa foi presa<\/p>\n
\nRansomware; foi considerado o pior incidente digital do RS, com acesso ao tribunal cessado por 24 horas. Pol\u00edcia cumpriu mandado de busca e apreens\u00e3o<\/p>\n
\nResultados de exames de clientes, via aplicativo, ficaram indispon\u00edveis por uma semana, em meio \u00e0 pandemia<\/p>\n
\nRansomware deixou ecommerce da companhia fora do ar; clientes n\u00e3o puderam comprar pelo site ou aplicativo<\/p>\n
\nAplicativo ConecteSUS, que emite certificado nacional de vacina\u00e7\u00e3o, ficou fora do ar por 13 dias; grupo reivincou ataques a Correios e outros \u00f3rg\u00e3os, que foram menos afetados<\/p>\n