Grupo novo alega 2 GB de concreteira paulista, sem prova
GTL Concreto e Logística LTDA
claimed on · assessed on
O grupo Emperador listou a GTL Concreto em 19/10/2026 e alega ter 2 GB de documentos financeiros, dados de clientes e credenciais de funcionários. Não achei confirmação da empresa, de regulador ou de apuração independente, e o grupo já foi apontado por incluir alegações não verificadas ou fabricadas. O caso continua sendo só alegação, a verificar.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
A publicação existe: a GTL Concreto e Logística LTDA foi listada no site de vazamentos do Emperador em 19/10/2026. O que não está demonstrado é a intrusão, o volume real e o conteúdo dos arquivos.
Nada na pesquisa demonstra comprometimento dos sistemas da GTL. Não há comunicado da empresa, nota da ANPD, imprensa de apuração, amostra analisada nem relato de indisponibilidade. Os agregadores só replicam o texto do próprio grupo.
O Emperador tem histórico de listagens contestáveis. Agregadores e analistas o classificam como grupo que faz alegações questionáveis, e a base de alegações sobre órgãos de governo (Receita Federal, prefeituras) também não tem confirmação oficial. Isso reduz o peso de qualquer listagem sua sem prova adicional, mas não prova que a da GTL seja falsa.
A listagem trata de roubo de dados, não de criptografia. O texto fala de arquivos exfiltrados e não menciona sistemas cifrados nem paralisação. Se houve invasão, o risco principal é de exposição de dados e extorsão, não de interrupção operacional (inferência a partir do padrão do post).
Há ambiguidade sobre qual entidade jurídica foi listada. O nome do post ("Concreto e Logística LTDA") difere da razão social que os cadastros ligam ao domínio gtlconcreto.com.br ("Concreto e Serviços Especializados Ltda"). O Ransom-DB atribui à entidade do post um CNPJ diferente, mas no mesmo bairro. Pode ser grupo empresarial, nome fantasia ou erro de agregador; não consegui resolver isso.
Se a alegação for verdadeira, a combinação de documentos financeiros e dados de clientes de uma empresa que fatura e entrega a obras favorece fraude de cobrança (boleto falso, BEC) contra clientes e fornecedores. Isso é inferência sobre o risco, não fato apurado.
Analysis
O que existe de concreto é um post no leak site do Emperador, datado de 19/10/2026 e replicado por vários rastreadores (ransomware.live, RansomLook, Brandefense, DeXpose, Breachsense). Eles todos raspam a mesma fonte, então a convergência prova que o post existe, não que o conteúdo é verdadeiro. A data do registro (19/10) confere.
O que o ator alega: 2,0 GB de arquivos, com "documentos financeiros, dados pessoais e de clientes, credenciais de funcionários". O texto do post também traz uma descrição da atividade da empresa (concreto usinado, argamassa, artefatos de cimento, construção, locação de equipamentos), que parece copiada de cadastro público. Não há contagem de registros, então claimed_records fica nulo. O DeXpose diz que os atacantes ameaçam vazar se as exigências não forem atendidas, mas isso é paráfrase do site, não texto do post. Nada indica prazo ou valor de resgate na página que li.
O que a vítima admite: nada que eu tenha encontrado. Não localizei nota no site gtlconcreto.com.br, nem nas páginas públicas da empresa, nem em imprensa. Também não achei manifestação da ANPD sobre o caso. A ausência de comunicado não prova nem desmente: empresa de pequeno porte, sem assessoria de imprensa, pode simplesmente não ter se pronunciado. Minha busca na etapa final de verificação de CNPJ foi interrompida por limite da ferramenta, então essa checagem não foi concluída.
Sobre a identidade da vítima: o Ransom-DB atribui à "GTL Concreto e Logística LTDA" o CNPJ 08.175.673/0001-94 (nome fantasia GTL Transporte e Locação de Equipamentos, aberta em 2006, capital de R$ 100 mil). Já Casa dos Dados e Jusbrasil ligam o e-mail fiscal@gtlconcreto.com.br à "GTL Concreto e Serviços Especializados Ltda", CNPJ 23.407.842/0001-68, aberta em 2015, capital de R$ 200 mil, na mesma Rua Keia Nakamura,
275. São razões sociais diferentes no mesmo endereço. Não confirmei o CNPJ do Ransom-DB em fonte primária, então tratar as duas como a mesma organização é hipótese. O ransomware.live também não traz domínio no post, só o nome.
A confiabilidade do ator pesa aqui. O Emperador surgiu em agosto 2026 e já acumula listagens de escala duvidosa: alegações sobre a Receita Federal e prefeituras sem confirmação, e vítimas cujos volumes variam de 75 MB a 367 GB conforme o rastreador. A RedPacket Security anexa um aviso de que listagens atribuídas ao grupo foram reportadas como incluindo alegações não verificadas ou fabricadas. A Cypro o descreve como grupo conhecido por alegações questionáveis. Os rastreadores nem concordam sobre o tamanho do grupo: Breachsense conta 23 vítimas, ransomware.live 34 em 2/10, SOCRadar 63 a
79. Nenhum desses números é validado pelas vítimas. A SOCRadar também afirma país de origem Rússia, sem evidência técnica no material que li; não usei isso.
A Brandefense rotula a entrada como "Confirmed claim". Isso significa que o post foi confirmado como existente no leak site, não que a invasão foi confirmada. Quem lê o rótulo sem contexto pode entender o contrário. Vale evitar essa leitura.
Nossa nota atual (claimed / unverified) está correta e deve ser mantida. O que corrigimos é a lacuna do registro: o ator que reivindicou é o Emperador (o registro dizia nenhum), o volume alegado é 2 GB (não havia dado), e o setor é construção civil (concreto e locação). Não há base para 'inflated' ou 'bluff' nem para 'real': a distância entre alegação e confirmação não pode ser medida porque não existe lado confirmado.
O que mudaria o veredito: uma nota da empresa confirmando (confidence → confirmed), ou amostra do conteúdo cuja autenticidade seja verificável por terceiros (→ corroborated), ou análise mostrando que os arquivos vêm de outra origem ou de base antiga (→ recycled/bluff).
Timeline
- 10 Aug 2026Data estimada da primeira vítima do Emperador, segundo o perfil do grupo no ransomware.live. O grupo é novo.
- 23 Sep 2026O Emperador lista a Receita Federal do Brasil e alega 6,3 GB, incluindo senhas de usuários gov.br. A imprensa especializada registra que o ataque não tinha confirmação oficial. É o exemplo mais próximo do padrão de alegações grandes e sem confirmação.
- 19 Oct 2026O Emperador publica a GTL Concreto e Logística LTDA no leak site. O RansomLook registra o post às 09:53 e o ransomware.live o descobre às 10:22 UTC. O post alega 2,0 GB com documentos financeiros, dados pessoais e de clientes, e credenciais de funcionários.
- 20 Oct 2026Brandefense e Breachsense registram a entrada. Nenhuma das páginas consultadas traz manifestação da empresa.
Data involved
Impact
Nenhum impacto confirmado. Se a alegação for verdadeira, estariam expostos documentos financeiros, dados de clientes e de funcionários de uma construtora/concreteira de São Paulo, com credenciais de funcionários que podem ser reutilizadas em outros serviços. Não há número de titulares, e portanto não é possível dimensionar o efeito sobre pessoas.
Recommendations
- GTL e empresas do mesmo grupo: tratar a listagem como incidente a investigar. Verifique logs de saída de rede (volume ~2 GB para destino externo atípico) e logs de acesso a servidores de arquivos e ERP em torno de 19/10/2026 e das semanas anteriores.
- Forçar redefinição de senhas de todos os usuários com acesso a e-mail, VPN, ERP e financeiro, e exigir MFA em acesso remoto e e-mail. Checar se as credenciais dos funcionários aparecem em logs de infostealer ou bases de credenciais vazadas.
- Se o inventário confirmar acesso indevido a dados pessoais com risco relevante, acionar o encarregado (DPO) para avaliar a comunicação à ANPD e aos titulares nos termos da Resolução CD/ANPD nº 15/2024.
- Clientes e fornecedores da GTL: validar por canal independente qualquer mudança de dados bancários, boleto ou cobrança supostamente emitida pela empresa nas próximas semanas. Desconfie de e-mails que citem notas ou contratos reais.
- Equipes de CTI: não replicar o rótulo 'confirmed' de agregadores como confirmação de incidente. Registrar como alegação do ator até haver fonte da vítima ou de regulador.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Se a GTL sofreu intrusão de fato. Resolve: nota da empresa, ou confirmação via ANPD ou imprensa com apuração própria.
Qual a entidade jurídica listada (CNPJ 08.175.673/0001-94 ou 23.407.842/0001-68 ou ambos). Resolve: o texto original do post com domínio ou CNPJ, e consulta ao cadastro oficial da Receita.
O que está nos 2 GB e quantas pessoas afetam. Resolve: análise de amostra por pesquisador independente, ou inventário interno da empresa.
Como o acesso inicial aconteceria. Resolve: relatório forense da empresa ou de resposta a incidentes. Não há IOC, CVE nem TTP associados a este caso.
Se houve criptografia ou indisponibilidade de sistemas. Resolve: relato da empresa; o post não menciona.
O quão confiável é o Emperador. Resolve: cruzar suas listagens com confirmações das vítimas; até agora não achei vítima que tenha confirmado.
Se a empresa foi contatada ou negocia. Resolve: acesso à página de negociação do grupo, que não consultei e que não é papel desta análise.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.