Sault suspende Crime Stoppers; tamanho local do vazamento é incógnita

O registro atual está errado em três pontos. Tratava como vítima a manchete de uma notícia local, e a vítima primária é a Navigate360 (plataforma P3 Global Intel), com Sault como um dos afetados a jusante. A data 2026-10-29 é a da reportagem, não a da alegação, que veio em 18/03/2026. E o ator existe: 'Internet Yiff Machine' reivindicou o ataque em março, e a vítima confirmou o incidente em 23/10. O selo 'claimed/unverified' fica desatualizado. O que sobra de alegação pura é o volume.

O que cada parte afirma. O ator disse à Reuters ter invadido a P3 e roubado 93 GB, com mais de 8 milhões de dicas. Segundo o relato, tomou uma conta de cliente por engenharia social e explorou uma vulnerabilidade. Essa mecânica é só alegação. A Reuters não conseguiu verificá-la na época, mas o Straight Arrow News disse ter confirmado a autenticidade de parte do material contatando pessoas que aparecem nos dados. O DDoSecrets recebeu uma cópia para jornalistas e pesquisadores. A Navigate360 só confirmou, sete meses depois, que um terceiro copiou dados entre 21/11/2025 e 05/03/2026. Não confirmou volume nem descreveu o vetor nas fontes que li.

O que a evidência independente sustenta. A CBC analisou o material e contou mais de 1,5 milhão de dicas canadenses em mais de 60 capítulos ao longo de 25 anos, com mais de 850 mil contendo dados pessoais. Segundo a reportagem, conseguiu contatar mais de uma dúzia de denunciantes a partir do que estava nos arquivos. Segundo o DDoSecrets, citado em análise de terceiros, os dados foram obtidos em texto claro, apesar de a P3 se descrever como criptografada. Isso é informação de fonte secundária, não verificada por mim no original. Em Saskatchewan, números fornecidos pelas associações locais chegam a 81.683 dicas e 11.076 nomes, e a própria associação diz não saber quem são essas pessoas (denunciantes, citados, vítimas, investigadores).

Sobre a distância entre números. Os 8,3 milhões (alegação do ator, repetida pela imprensa) e os 1,5 milhão (contagem da CBC, só Canadá) não são versões conflitantes do mesmo universo. Não encontrei contagem oficial global, então não há como declarar o caso 'inflado'. A lacuna que importa é outra: nenhum número confirmado por fonte A diz quantos registros foram expostos, nem por capítulo. Para Sault, a pergunta fica sem resposta. O chefe Duguay diz não saber quantas dicas locais foram potencialmente expostas, e a Polícia de Sault remete as perguntas à Canadian Crime Stoppers Association.

O ângulo de Sault. A Polícia de Sault afirma em comunicado que a plataforma afetada não está ligada aos seus sistemas e que o Crime Stoppers opera de forma independente. Suspendeu a participação 'por precaução'. A Anishinabek Police Service foi mais específica: foi informada de que dados de programas que atendem suas comunidades entraram na violação. O capítulo local avisa que não consegue aceitar nem encaminhar dicas para as duas polícias. Não li o texto original da matéria de James Hopkin; a citação de Duguay vem do trecho reproduzido pelo DataBreaches.net.

O que a narrativa oficial deixa de fora. O comunicado da Navigate360 foca em fraude e roubo de identidade, mas o dano de um vazamento de linha de denúncia anônima é reidentificação e retaliação. Segundo a CBC, a empresa não respondeu a perguntas sobre medidas posteriores, e um especialista consultado pela emissora estranhou a rapidez com que o sistema foi declarado operacional após o ataque. O Crime Stoppers nacional afirma que a Navigate360 corrigiu as vulnerabilidades após perícia de terceiros, mas essa é uma afirmação repassada do fornecedor, não verificada. O CCSA, em junho, dizia desconhecer impacto específico nos programas canadenses, e a CBC mostrou depois que o volume era enorme. Quem se beneficia da narrativa 'não há evidência de fraude' é o fornecedor, que enfrenta ação coletiva nos EUA e investigação do OPC.

Governança. Segundo a CBC, os comissários de privacidade federal e de Ontário disseram que a lei não lhes permite investigar o Crime Stoppers em si. O OPC investiga a Navigate360 quanto às salvaguardas em vigor na época. O caso expõe um problema estrutural: dezenas de capítulos dependiam de um único fornecedor hospedado, herdando a postura de segurança de quem não operavam, sem prazo contratual de notificação que funcionasse na prática. Houve ainda uma discrepância menor entre fontes: a CBC diz que o OPC anunciou na terça (27/10), o Global News diz quarta. Usei 27/10, data que aparece também no CKOM e no Money.ca.

Os afetados diretos são denunciantes, pessoas citadas em dicas, vítimas e funcionários de polícia e do Crime Stoppers. Nas dicas canadenses, segundo a CBC, havia telefones, endereços, nomes de alguns denunciantes e, em alguns casos, placas e dados bancários. Na prática, a promessa de anonimato foi quebrada para parte dos usuários. Em Sault, a polícia e o capítulo local pararam de receber dicas anônimas pelo canal habitual. A polícia orienta o público a ligar diretamente ou usar o registro online, e avisa que isso não oferece o mesmo anonimato. Pelo menos 11 programas e 24 unidades policiais no Canadá pausaram o serviço na contagem da CBC reproduzida pelo DataBreaches.net, e a CBC chegou a 35 agências em outra reportagem. Não há, nas fontes que li, caso confirmado de retaliação ou de uso fraudulento dos dados.