APT73 alega ataque a gov.br — sem confirmação oficial ou prova
O APT73/Bashe listou o gov.br em seu site de vazamento em 23/06/2026, mas a alegação não tem qualquer corroboração: nenhum comunicado do governo, da ANPD ou do CTIR Gov, nenhuma reportagem de apuração, e o próprio ransomware.live marcou a entrada como duplicata. Avaliamos a reivindicação como não verificada e provavelmente inflada — reivindicar 'gov.br', um alvo genérico de alto perfil, é a forma mais barata de o grupo comprar reputação.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
A alegação de comprometimento do gov.br pelo APT73 permanece não corroborada por qualquer fonte independente da própria narrativa do ator; os únicos veículos que a reproduzem são agregadores automáticos de leak site, sem apuração própria nem contato com o órgão.
O rótulo 'gov.br' na listagem é genérico e não identifica sistema, órgão ou base de dados específicos, o que é típico de reivindicação inflada por nome de domínio de alto perfil e não de um comprometimento delimitado e comprovável.
A confiabilidade do APT73 como fonte sobre suas próprias vítimas é baixa: na mesma janela de atividade o grupo lista a flazio.com — comprovadamente uma construtora de sites italiana de Catânia — e a própria descrição da plataforma corrige a nacionalidade, evidenciando classificação errática do ator.
O ransomware.live sinaliza a entrada gov.br como duplicata de outro registro em sua base, o que reduz ainda mais a probabilidade de ser um evento novo e distinto.
O APT73 tem histórico de reivindicar alvos governamentais brasileiros de forma pouco verificável — em dezembro de 2024 listou siapenet.gov.br, também marcada como duplicata —, reforçando um padrão de alvos de alto perfil sem confirmação subsequente.
Não há evidência de exfiltração, criptografia, volume de registros ou tipo de dado associado a esta alegação específica; qualquer afirmação de impacto sobre titulares brasileiros seria, no momento, especulação.
Analysis
Quatro coisas precisam ser separadas nesta história, porque quase toda a cobertura as embaralha. O que o ATOR alega: em 23 de junho de 2026 o APT73/Bashe adicionou 'gov.br' ao seu site de vazamento na rede Tor, ameaçando divulgar dados governamentais sensíveis caso não houvesse negociação. O que a VÍTIMA admite: nada — não há comunicado do Governo Federal. O que o REGULADOR afirma: nada sobre este caso — não localizamos manifestação da ANPD nem alerta do CTIR Gov referente a esta alegação. O que a EVIDÊNCIA demonstra: apenas que a listagem existe, foi indexada e está marcada como duplicata.
A listagem em si é rasa. O ransomware.live descreve o alvo apenas como 'a plataforma digital oficial e zona de domínio do Governo Federal brasileiro' — uma definição de domínio, não de um sistema comprometido. Não há menção a volume de registros, tipo de dado, órgão específico ou amostra. Um comprometimento real do ecossistema gov.br, que agrega centenas de serviços federais, deixaria rastro operacional, regulatório e jornalístico. Aqui não há rastro nenhum além do anúncio do próprio criminoso.
Dois sinais técnicos pesam contra a alegação. O primeiro: o próprio ransomware.live marca a entrada como duplicata de outro registro em sua base, com a ressalva padrão de que duplicatas nem sempre significam repetição ilegítima. O segundo é mais revelador sobre a qualidade da fonte: na mesma janela de atividade, o APT73 lista a flazio.com, e tanto a plataforma de indexação quanto múltiplas fontes independentes identificam a Flazio como uma construtora de sites italiana, fundada em 2012 e sediada em Catânia, na Sicília. Um ator que erra a nacionalidade das próprias vítimas não é uma fonte confiável sobre a nacionalidade — ou a existência — das suas vítimas.
O histórico reforça o ceticismo. Em dezembro de 2024, o APT73 já havia listado www.siapenet.gov.br, o sistema de remuneração de servidores federais, e essa entrada também aparece marcada como duplicata. O grupo tem, portanto, um padrão documentado de reivindicar domínios governamentais brasileiros de alto perfil sem que se materialize confirmação, vazamento delimitado ou repercussão oficial.
Há contexto de setor que ajuda a calibrar. O APT73/Bashe emergiu em abril de 2024, mimetiza a estrutura do site de vazamento do LockBit e se autointitula 'APT' — um rótulo tipicamente reservado a atores estatais sofisticados — aparentemente como estratégia de marketing para projetar credibilidade e atrair afiliados. Grupos com esse perfil inflam listas: um caso paralelo bem documentado é o do SatanLock, cujas vítimas listadas eram, em mais de 65%, duplicatas de outros grupos. Reivindicar um nome grande é barato e rende manchete.
É importante não confundir esta análise com uma negação de que o setor público brasileiro esteja sob pressão real. Está — há alertas do CTIR Gov sobre vazamentos críticos de fornecedores (como a Recomendação 05/2026, referente à Dígitro Tecnologia) e alegações separadas de venda de bases massivas de CPFs por outros atores ('MORGUE', 'Buddha') no mesmo período. Mas nenhum desses casos é este caso. Misturar a pressão geral real com esta alegação específica não verificada seria exatamente o erro que este relatório existe para evitar.
Correção ao nosso próprio registro: a análise anterior estava substancialmente correta e é confirmada pela apuração. Ajustamos apenas a precisão da data de listagem da flazio.com (02/07/2026, não parte estrita da mesma leva de 23/06) e acrescentamos o precedente do siapenet.gov.br como elemento de padrão. O veredito 'não verificado, com ceticismo elevado' se mantém.
Timeline
- 25 Apr 2024APT73/Bashe lança seu site de vazamento na rede Tor, mimetizando a estrutura do DLS do LockBit; grupo se autointitula 'Advanced Persistent Threat'.
- 03 Dec 2024APT73 lista www.siapenet.gov.br (sistema de remuneração de servidores federais) como vítima; entrada posteriormente marcada como duplicata no ransomware.live.
- 23 Jun 2026Ransomware.live registra, às 12:50 UTC, que o gov.br foi reivindicado pelo APT73; a entrada é sinalizada como duplicata de outro registro na base.
- 02 Jul 2026Na mesma leva de listagens, o APT73 lista a flazio.com, descrita pela própria plataforma de indexação como empresa italiana construtora de sites — não brasileira.
Impact
Nenhum impacto concreto foi apurado. Não há vítima confirmada, órgão identificado, volume de registros, tipo de dado, evidência de exfiltração ou criptografia, nem interrupção de serviço associada a esta alegação. Não há afetados conhecidos porque não há comprometimento demonstrado. O único efeito real, no momento, é reputacional e informacional: a circulação da alegação por agregadores automáticos que a embalam como notícia, gerando risco de amplificação de um evento possivelmente inexistente.
Technical links
Recommendations
- Tratar a alegação como não verificada em qualquer comunicação interna e externa; não reproduzir 'gov.br comprometido' sem qualificar que se trata de reivindicação unilateral do ator, marcada como duplicata e sem confirmação.
- Equipes de resposta de órgãos federais devem checar seus próprios registros de incidentes e o canal do CTIR Gov (ctir@ctir.gov.br) para verificar se há qualquer notificação correlata, em vez de reagir ao anúncio do leak site.
- Monitorar o site de vazamento do APT73 por eventual publicação de amostra; a ausência de prova após o prazo de negociação é, por si, evidência que enfraquece a alegação.
- Para operadores do ecossistema gov.br: revisar credenciais de terceiros e superfícies expostas de fornecedores, já que o vetor real mais provável no setor público brasileiro tem sido comprometimento de fornecedores e credenciais, não o portal central.
- Ao indexar esta entrada em bases de CTI, registrar explicitamente o flag de duplicata e o erro de nacionalidade da flazio.com como marcadores de baixa confiabilidade do ator naquela leva de listagens.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Não se sabe a qual registro a entrada gov.br é 'duplicata' — resolveria: identificar o registro-base referenciado pelo ransomware.live e verificar se é o siapenet.gov.br de 2024 ou outro.
Não se sabe qual órgão ou sistema específico o ator alega ter comprometido — resolveria: acesso ao texto integral da postagem no leak site (apenas metadados), que aqui não descrevemos por política.
Não há posição oficial do Governo Federal, do CTIR Gov ou da ANPD sobre esta alegação — resolveria: consulta formal ou comunicado dos órgãos negando ou confirmando o incidente.
Não se sabe se o ator possui qualquer amostra de dados — resolveria: publicação de prova pelo grupo ou análise de amostra por pesquisador independente.
Não se sabe se houve tentativa de contato/extorsão efetiva a algum órgão — resolveria: registro de boletim de ocorrência, filing ou confirmação de negociação.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.