McMinnville: dados públicos na dark web, notificação com mês de atraso

O incidente de McMinnville é um caso clássico de dupla extorsão bem-sucedida contra governo municipal de pequeno porte, agravado por falha grave de governança na notificação. O que torna este caso analiticamente relevante não é a sofisticação do ataque, mas a distância entre o que a cidade admite e o que a evidência demonstra — e a sequência de decisões institucionais que mantiveram residentes na ignorância por mais de dois meses.

Do lado do ator: RansomHouse é um grupo de ransomware-as-a-service ativo desde 2021, com ao menos 180 alegações de vítimas até início de 2026, segundo a Halcyon. Seus TTPs documentados incluem exploração de appliances de borda (Citrix NetScaler, Palo Alto GlobalProtect, Check Point), movimento lateral via Cobalt Strike e Mimikatz, e exfiltração via Mega.nz e servidores CDN antes de qualquer criptografia — ou em substituição a ela. No caso de McMinnville, a cidade não confirmou publicamente se houve criptografia de sistemas ou apenas exfiltração, e nenhuma fonte apurou se houve pedido de resgate ou negociação. Esse ponto permanece lacuna material.

Do lado da vítima: a cidade (≈34.300 habitantes, sede do Condado de Yamhill) detectou atividade anômala em 15 de julho, mas seu aviso formal só foi enviado em 29 de setembro — 75 dias depois. A ORS 646A.604 exige notificação 'na forma mais expedita possível e sem demora injustificada, mas nunca depois de 45 dias após a descoberta'. Contando a partir de 15 de julho, o prazo legal expirava por volta de 29 de agosto. A cidade não contesta esse cronograma; simplesmente não explica o atraso. O City Manager Adam Garvin respondeu a perguntas do KPTV remetendo ao próprio aviso que gerou as perguntas.

A lacuna mais grave entre versões está no escopo dos dados. O aviso oficial menciona nome, número de carteira de habilitação e Social Security Number — o mínimo legal para acionar a obrigação de notificar na lei de identidade do Oregon. Mas dois pesquisadores independentes que examinaram o material na dark web descreveram categorias muito mais amplas: registros policiais confidenciais (incluindo entrevistas com testemunhas), investigações de assuntos internos, folha de pagamento, declarações fiscais, senhas, informações bancárias, registros de RH e documentação médica. O KPTV confirma ter visto títulos de arquivos consistentes com registros policiais sem abrir ou baixar nenhum arquivo. O próprio Dornon reconheceu, em notas escritas, que não conseguiu estabelecer o número total de afetados nem autenticar cada arquivo — o que é honesto, mas não invalida o que foi visualmente verificado.

Há um detalhe de governança que merece atenção analítica própria: na mesma noite de 22 de setembro em que a cidade declarou a investigação 'parcialmente concluída', o Conselho Municipal votou — por unanimidade — a aprovação de um contrato de US$ 1,28 milhão com a VC3 para cibersegurança 24/7 com CrowdStrike. O contrato não estava no orçamento aprovado para o FY26-27. A pergunta que o KPTV fez e não recebeu resposta é direta: os conselheiros já sabiam, naquela noite, que SSNs e CNHs estavam expostos? A resposta importa juridicamente (pode determinar quando o prazo de 45 dias começou a correr de fato) e politicamente. Pedidos de registros públicos foram protocolados; o resultado ainda é desconhecido.

A Oregon DOJ confirmou ao KPTV que recebeu notificação da cidade 'recentemente' e está revisando o caso, incluindo o cronograma declarado. Isso não é abertura de investigação formal — mas é sinal de que o regulador está monitorando. Se o Oregon AG determinar que o prazo começou a correr em julho, a cidade está exposta a sanção administrativa. A lei estadual não prevê direito de ação privada, mas permite que o AG aplique penalidades.

Um ponto de ceticismo necessário sobre Chuck Dornon: seu papel no caso merece nota. Ele é CEO da Alexonet, firma de cibersegurança com sede em McMinnville que faz trabalho similar ao da VC3 — empresa contratada pela cidade. O KPTV registrou explicitamente que a cidade já havia escolhido a VC3 antes de Dornon falar com a emissora e que ele não disputava o contrato. Suas descrições são as mais detalhadas sobre o conteúdo do vazamento, mas não foram independentemente verificadas em sua totalidade. Suas afirmações devem ser tratadas como B-2 (usualmente confiável, provavelmente verdadeiro), não como A-1.

A cidade de McMinnville tem aproximadamente 34.300 habitantes. O número exato de pessoas notificadas não foi divulgado, mas a natureza dos dados expostos — SSN, CNH, registros policiais, dados de RH e de saúde — cobre virtualmente qualquer residente que tenha interagido com serviços municipais. O leak site registrou 53.000 visitas antes de 1º de outubro, número que supera a população da cidade e indica que atores externos tiveram amplo acesso ao material antes de qualquer notificação pública. A exposição de entrevistas com testemunhas e registros de investigações internas da polícia representa risco direto a pessoas em situação de vulnerabilidade. A ausência de notificação pelo período de ao menos um mês além do prazo legal privou os afetados da janela mais crítica para monitoramento de crédito e medidas de proteção de identidade.