Dígitro: vazamento de 3,39 TB alegado sem confirmação oficial
Corrigimos nosso próprio registro: o vazamento da Dígitro é uma ALEGAÇÃO publicada pelo DDoSecrets a partir de fonte anônima (3,39 TB, publicado por volta de 08/04/2026), não um fato confirmado pela vítima nem por regulador — o selo interno 'confirmado/real' está acima do que a evidência sustenta e deve ser rebaixado. As três CVEs que o CTIR Gov associa ao caso são de maio de 2025, descobertas por pesquisador independente, afetam exclusivamente o produto NGC Explorer (não o Guardião), e não há evidência pública de nexo causal entre elas e o vazamento.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
A ocorrência de um vazamento de dados da Dígitro é uma alegação de fonte anônima intermediada pelo DDoSecrets; a autenticidade e a extensão do material não foram confirmadas pela empresa nem por regulador até o fechamento das fontes apuradas.
O CTIR Gov tratou o incidente como real e crítico em recomendação oficial, o que eleva a plausibilidade do vazamento, mas o CTIR não afirma ter validado a autenticidade do conteúdo — trata a publicação como fato reportado, não como evidência forense própria.
O vínculo causal entre as CVEs (CVE-2025-4526/4527/4528) e o vazamento é narrativo, não demonstrado: as falhas foram divulgadas em maio de 2025 por pesquisador independente, quase um ano antes do leak, e afetam apenas o NGC Explorer em versões ≤3.48.21.
Os sistemas Guardião e UNA não são afetados pelas três CVEs citadas, segundo a própria Dígitro e a atualização posterior do CTIR (Recomendação 10/2026) — o que contradiz a leitura de que as vulnerabilidades expõem diretamente o núcleo de interceptação.
O volume alegado de 3,39 TB refere-se ao tamanho do pacote publicado, não a um número de registros ou de titulares afetados; nenhuma fonte quantificou pessoas ou investigações efetivamente expostas.
A gravidade potencial do caso é alta pela natureza do fornecedor (interceptação legal para forças policiais), mas o impacto concreto permanece não comprovado por ausência de análise forense pública do conteúdo.
Analysis
Nosso registro interno marcava este caso como 'confirmado/real' com tipos de dado 'código-fonte, bancos de dados, arquivos internos'. A apuração obriga a rebaixar esse selo. O que existe é uma alegação: o coletivo DDoSecrets publicou, a partir de fonte anônima, um pacote de 3,39 TB atribuído à Dígitro. Essa é a origem de todos os números que circulam. Não localizamos, até o fechamento, qualquer confirmação de autenticidade emitida pela própria empresa, pela ANPD ou por autoridade policial.
É importante separar as quatro camadas. O ATOR (fonte anônima via DDoSecrets) alega 3,39 TB de bancos, código e arquivos internos. A VÍTIMA (Dígitro) não confirmou nem negou publicamente a autenticidade do vazamento — manifestou-se apenas sobre as CVEs, tema distinto. O REGULADOR (ANPD) não consta com manifestação pública específica sobre este caso nas fontes apuradas. E a EVIDÊNCIA independente do conteúdo — uma análise forense de terceiros validando amostras — não foi encontrada. A imprensa que apurou (ICL/Agência Pública) tratou o caso explicitamente como 'suposto vazamento'.
O CTIR Gov é a fonte que mais eleva a plausibilidade, porque um CERT governamental não emite recomendação crítica sobre um vazamento que considere fabricado. Mas mesmo o CTIR descreve o incidente como algo 'publicado pelo DDoSecrets', ou seja, reporta a publicação — não afirma ter periciado o material. Confiança na existência de algum vazamento: moderada a alta. Confiança na extensão e no conteúdo exato alegado: baixa, por falta de validação independente.
O ponto onde nossa análise anterior mais precisa de correção é o encadeamento entre as CVEs e o leak. As três vulnerabilidades — CVE-2025-4526 (senha sem mascaramento na página de configuração), CVE-2025-4527 (validação de segurança no lado cliente, exploração considerada difícil) e CVE-2025-4528 (expiração de sessão insuficiente) — foram divulgadas em maio de 2025 por um usuário do VulDB, quase um ano antes da publicação do vazamento. Os próprios registros indicam que o fornecedor foi contatado e não respondeu na época. São falhas de severidade baixa a média (CVSS v3.1 em torno de 3.7 para a 4527), não RCE. Não há, nas fontes públicas, demonstração de que essas falhas foram o vetor de entrada do vazamento. A construção 'podem ter facilitado o acesso ou ser exploradas a partir do código vazado' é uma hipótese do CTIR, não um achado.
Há ainda uma correção de escopo relevante. A narrativa dominante — inclusive a nossa — sugeria que a exposição atinge diretamente o Guardião, o sistema de interceptação legal. Mas tanto a Dígitro quanto a atualização do CTIR (Recomendação 10/2026) afirmam que as CVEs se restringem ao NGC Explorer em versões iguais ou inferiores à 3.48.21 e que Guardião e UNA não são afetados por elas. Isso não elimina o risco do vazamento de código-fonte em si, mas desfaz a ligação direta 'CVE → Guardião' que dava à história parte de sua gravidade.
Sobre a fonte primária do leak: o DDoSecrets é uma organização com histórico consolidado de publicação de grandes vazamentos de interesse público, o que dá credibilidade ao fato de existir um pacote de dados — mas o coletivo é intermediário, não autor da coleta, e o material vem de fonte anônima. Isso o coloca, na escala Admiralty, como fonte cuja confiabilidade quanto à origem do dado não pode ser tratada como de regulador. A credibilidade da informação depende de validação que ninguém, publicamente, fez até agora.
O comportamento da Dígitro reforça a leitura de que algo aconteceu, sem confirmá-lo: a empresa correu para esclarecer as CVEs, coordenou-se com o CTIR e publicou notas técnicas, mas evitou tratar publicamente a questão central — a autenticidade e o escopo do que foi extraído. Silêncio sobre o vazamento e loquacidade sobre as CVEs é, em si, um dado: a discussão foi deslocada do incidente (difícil de admitir para uma Empresa Estratégica de Defesa) para a remediação técnica (defensável e sob controle).
Em resumo, o caso é real como evento de exposição pública de dados atribuídos à Dígitro e como objeto de recomendação oficial; é não confirmado quanto à autenticidade e à extensão do conteúdo; e o elo com as CVEs é conjectural. Nosso selo deve refletir isso.
Timeline
- 10 May 2025Pesquisador independente (usuário 'j369') divulga via VulDB três vulnerabilidades no Dígitro NGC Explorer 3.44.15; segundo o registro, o fornecedor foi contatado previamente e não respondeu.
- 11 May 2025CVE-2025-4526, CVE-2025-4527 e CVE-2025-4528 são publicadas oficialmente (assigner VulDB).
- 08 Apr 2026Material atribuído à Dígitro (3,39 TB: bancos de dados, repositórios de código e arquivos internos) aparece no repositório do DDoSecrets, segundo apuração do ICL.
- 14 Apr 2026ICL Notícias publica a reportagem; a Dígitro não respondeu ao pedido de posicionamento até o fechamento e o caso ainda não havia sido comentado por órgãos federais.
- 17 Apr 2026CTIR Gov atualiza a Recomendação 05/2026, classificando o vazamento como crítico e recomendando patches, isolamento de interfaces e auditoria de credenciais.
- 20 May 2026Dígitro publica esclarecimento afirmando que as vulnerabilidades se restringem ao NGC Explorer (≤3.48.21) e não afetam Guardião nem UNA, e que já foram corrigidas.
- 21 May 2026Dígitro emite nota técnica sobre a Recomendação 09/2026, detalhando correções de sessão e validações no lado servidor.
- 21 May 2026CTIR Gov publica a Recomendação 10/2026, em conjunto com a fabricante, confirmando que as CVEs foram corrigidas e que Guardião e UNA não são afetados.
Data involved
Impact
Impacto confirmado: o CTIR Gov emitiu três recomendações (05, 09 e 10/2026) orientando órgãos federais e usuários dos produtos Dígitro a aplicar patches no NGC Explorer, bloquear administração remota (SSH/RDP/HTTP admin) a partir de redes externas, segregar redes e auditar credenciais e chaves de API. Isso significa trabalho operacional real imposto a mais de 150 instituições que usam soluções da empresa. Impacto potencial, não comprovado: se o pacote de 3,39 TB for autêntico e incluir código-fonte funcional de sistemas de interceptação, atores poderiam estudar a arquitetura para engenharia reversa e ataques direcionados; nenhuma fonte demonstrou que isso ocorreu, nem quantificou titulares ou investigações efetivamente expostos. Não há número de pessoas afetadas apurável, porque o conteúdo não foi periciado publicamente. Não há, nas fontes apuradas, sanção, processo da ANPD ou boletim de ocorrência ligado especificamente a este caso.
Technical links
Recommendations
- Inventariar instâncias de NGC Explorer e confirmar a versão: aplicar atualização para versão superior à 3.48.21 pelos canais oficiais da fabricante e validar integridade dos pacotes antes de instalar.
- Bloquear no firewall protocolos de administração remota (SSH, RDP, HTTP/HTTPS administrativo) apontados para infraestrutura Guardião, UNA ou NGC Explorer a partir de redes externas não confiáveis.
- Segregar redes administrativas das redes de usuários e da internet, e retirar interfaces de configuração de exposição pública.
- Rotacionar credenciais, tokens, chaves de API e segredos que possam ter constado em repositórios de código, partindo da premissa de que qualquer segredo hardcoded está comprometido.
- Ativar autenticação multifator e políticas de expiração/invalidação de sessão para mitigar reutilização de sessões (endereça o risco descrito na CVE-2025-4528).
- Monitorar logs por comunicações anômalas e tentativas de acesso não autorizado a sistemas Dígitro mesmo após atualização, e reportar suspeitas ao CTIR Gov.
- Tratar toda alegação de volume (3,39 TB) e de conteúdo como não verificada em comunicações internas, até que haja validação forense — evitar amplificar números não confirmados em avaliações de risco.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Autenticidade do material: nenhuma pericia independente validou amostras do pacote de 3,39 TB — resolveria isso a análise forense por pesquisador ou veículo com acesso ao conteúdo, publicando metodologia (sem expor os dados).
Posição da vítima sobre o vazamento: a Dígitro só se manifestou sobre as CVEs — resolveria uma nota oficial confirmando ou negando a autenticidade e a extensão do que foi extraído.
Vetor de entrada: não se sabe como os dados foram obtidos — resolveria um relatório de resposta a incidente (mesmo resumido) indicando se as CVEs, credenciais vazadas ou outro caminho foram usados.
Manifestação da ANPD: não há registro público de comunicação de incidente ou apuração pela autoridade — resolveria uma consulta formal à ANPD ou publicação de processo administrativo.
Conteúdo por trás dos dados: não está claro se o material inclui interceptações, dados de investigações em curso ou apenas artefatos de desenvolvimento — resolveria uma descrição categorizada do conteúdo por parte de quem o analisou.
Data exata da coleta: sabe-se a data de publicação (~08/04/2026), não quando os dados foram efetivamente exfiltrados — resolveria carimbo temporal dos arquivos ou informação da própria empresa.
Escopo dos clientes afetados: não há lista de quais dos 150+ órgãos rodam versões vulneráveis do NGC Explorer — resolveria levantamento do CTIR ou da fabricante sobre a base instalada exposta.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.