Alertas falsos de Extremo: Defesa Civil abusada via credenciais vazadas há anos
Confiança moderada: alguém disparou dez alertas falsos de nível Extremo pelo sistema Defesa Civil Alerta na madrugada de 20/06/2026, atingindo por volta de 30 milhões de pessoas. A hipótese dominante — e sustentada por documento do próprio governo à PF — é abuso de credenciais legítimas de agentes da Defesa Civil do Pará obtidas em vazamentos antigos, sem exploração de falha técnica sofisticada. Este NÃO é um vazamento de dados: é o uso operacional de credenciais já vazadas. Autoria, vetor exato e número de credenciais permanecem sob disputa entre a versão oficial, a versão do autoproclamado autor e uma tese técnica alternativa não descartada.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O incidente não é uma exfiltração de dados, e sim o acionamento não autorizado de um sistema de alerta público usando acesso obtido previamente. Tratar 'credenciais' como o dado vazado deste caso é impreciso: as credenciais eram o vetor, não o objeto do vazamento.
O acesso ocorreu via abuso de credenciais legítimas de agentes da Defesa Civil do Pará, sem exploração de vulnerabilidade técnica sofisticada — o próprio documento do governo à PF aponta uso indevido de contas de servidores estaduais.
Há divergência não resolvida sobre o número de credenciais comprometidas: o relatório do MIDR aponta duas; o autoproclamado autor, via TecMundo, alega três. Nenhuma fonte independente confirmou o total.
A autoria atribuída ao perfil 'Misantropo' (@mizantropiaz) é autoproclamada e não foi confirmada por autoridades nem verificada de forma independente pela imprensa que o entrevistou.
Existe uma tese técnica concorrente — transmissor/estação clandestina operando no canal de cell broadcast, sem tocar na plataforma nacional — que não foi descartada publicamente e é reforçada pela ambiguidade da nota da Anatel. Isso enfraquece o selo 'confirmed' sobre o vetor exato.
Falhou o controle de restrição territorial: credenciais de perfil estadual (Pará) dispararam ou tentaram disparar alertas para outras UFs, indicando falha de autorização (RBAC) além do problema de autenticação.
Analysis
É preciso separar quatro camadas que quase toda a cobertura embaralha: o que a vítima admite, o que o regulador afirma, o que o ator alega e o que a evidência sustenta. A Defesa Civil Nacional admite, em nota oficial, que a plataforma foi acionada remotamente por alguém alheio ao sistema e classificou o episódio como 'provável ataque hacker' — note o 'provável', que é linguagem de hipótese, não de conclusão fechada.
O documento do MIDR encaminhado à Polícia Federal é a peça mais concreta: aponta dez envios suspeitos entre 19 e 20 de junho, com forte indício de uso indevido do sistema a partir de credenciais de dois agentes da Defesa Civil do Pará. O mesmo documento registra um segundo problema, muitas vezes ignorado na cobertura: os usuários tinham perfil estadual, mas os alertas foram direcionados a UFs fora de sua área de autorização — ou seja, além da falha de autenticação, houve falha de restrição territorial (RBAC). Isso é evidência de fragilidade de arquitetura, não apenas de senha fraca.
A versão do ator vem do perfil 'Misantropo' via entrevista ao TecMundo. Ele alega credenciais vazadas antigas, CPF usado como login e senha, autenticação protegida apenas por um captcha de conta matemática simples, e três credenciais (não duas) com autorizações regionais distintas. Duas ressalvas de peso, ambas explicitadas pela própria reportagem: o TecMundo confirmou que falava com o dono do perfil do X, mas não obteve prova que ligasse o perfil ao incidente; e as supostas credenciais não puderam ser verificadas de forma independente por vias legais. Ou seja, a narrativa é coerente e plausível, mas permanece não confirmada.
Aqui mora a contradição que impede fechar o caso: a Anatel afirmou que 'os alertas em questão não passaram pelos canais oficiais da plataforma técnica operada pela ABR Telecom'. Essa frase é ambígua e comporta duas leituras opostas. Uma: os alertas entraram por trás dos controles de validação da cadeia oficial (compatível com abuso de credencial no IDAP mais falha de restrição). Outra, levantada por análise técnica independente: o padrão se assemelha a episódios anteriores em Curitiba (fevereiro/2026) e São Paulo (setembro/2025), atribuídos a transmissores clandestinos operando no canal de cell broadcast do padrão PWS/3GPP — que produzem a tela 'Defesa Civil' sem tocar na plataforma nacional. Não há, nas fontes públicas até aqui, conclusão oficial que decida entre as duas hipóteses.
O peso da evidência favorece a tese do abuso de credenciais: existe documento do próprio governo apontando as contas do Pará, existe a exposição do nome do titular de uma credencial nos próprios vídeos do autor, e a autenticação frágil descrita é consistente com o histórico do setor público. Mas a tese da estação clandestina não pode ser descartada só porque é menos citada — e é justamente o tipo de hipótese que o rigor exige manter viva enquanto a apuração da Anatel e da PF não conclui.
Sobre a Operação Nexus Fractus: é real, de março de 2026, e mira um policial civil aposentado por consulta irregular a bases públicas no DF. Nenhuma fonte estabelece ligação entre essa operação e o caso da Defesa Civil. Ela entra como contexto do ecossistema de dados públicos vazados e reutilizados, não como elo causal — e deve ser lida assim para não fabricar uma conexão que a evidência não sustenta.
Dois números merecem cautela. Estados afetados: parte das fontes fala em sete estados mais o DF, outra parte em oito estados mais o DF; a divergência parece vir da contagem do Acre e da inclusão ou não de UFs que sofreram tentativa sem sucesso. O alcance de 'cerca de 30 milhões de pessoas' é estimativa preliminar do próprio governo, não medição fechada — o secretário chegou a dizer inicialmente que os números 'podem estar na casa de milhões', sem precisão.
Correção ao nosso registro: o selo 'confirmed / real' está forte demais para 'credenciais' como tipo de dado vazado. O que está confirmado é o disparo não autorizado e o dano; o vetor exato (credential stuffing no IDAP versus estação clandestina) e o número de credenciais seguem em disputa. Recomenda-se rebaixar a caracterização do vetor para 'provável, não confirmado' até manifestação conclusiva da PF ou da Anatel.
Timeline
- 16 Mar 2026PCDF deflagra a Operação Nexus Fractus contra policial civil aposentado por uso irregular de bancos de dados públicos no DF — episódio anterior e sem ligação confirmada com o caso da Defesa Civil, citado apenas como contexto de fragilidade dos sistemas públicos.
- 19 Jun 2026Às 23h41 e 23h45, os dois primeiros disparos suspeitos ocorrem no IDAP; a equipe de plantão do CENAD identifica atividade anômala e bloqueia a primeira credencial, ligada a um agente do Pará.
- 20 Jun 2026Entre 1h20 e 1h23, outros disparos usam uma segunda credencial, atingindo capitais como São Paulo, Rio, Belo Horizonte, Curitiba, Salvador e Rio Branco; ao todo dez alertas de nível Extremo, nove por cell broadcast e um por SMS.
- 20 Jun 2026Às 1h30, a Defesa Civil Nacional retira a plataforma do ar e publica nota oficial classificando o episódio como provável ataque hacker; aciona a PF e abre chamado no CTIR Gov. A Anatel afirma que seus sistemas não foram comprometidos.
- 20 Jun 2026Surge o perfil 'Misantropo' (@mizantropiaz) no X reivindicando a autoria, com capturas e vídeo do IDAP depois apagados; erros de opsec expõem o nome do titular de uma credencial (sargento do Corpo de Bombeiros do Pará).
- 21 Jun 2026TecMundo publica entrevista com o autoproclamado autor, que alega ter usado credenciais vazadas antigas e CPF como senha; documentos do MIDR encaminhados à PF são divulgados pela imprensa. O sistema é religado à tarde, restrito ao CENAD.
Data involved
Impact
Cerca de 30 milhões de pessoas em sete a oito estados e no DF receberam, de madrugada, um alerta de nível Extremo — o mesmo canal (cell broadcast) que toca com o celular no silencioso e interrompe qualquer aplicativo, projetado para ser irresistível em emergências reais. O impacto direto foi pânico e confusão em capitais como São Paulo, Rio, Belo Horizonte, Curitiba, Salvador, Campo Grande, Brasília e Rio Branco, incluindo interrupções ao vivo em transmissões da Copa (ESPN e CazéTV). O dano estrutural é a erosão de confiança no sistema: um canal que só funciona se a população reage sem hesitar teve sua credibilidade publicamente quebrada. Resposta concreta: o Defesa Civil Alerta ficou fora do ar por cerca de 36 horas e voltou restrito — apenas o CENAD, em Brasília, pode disparar; as Defesas Civis estaduais perderam acesso direto e passam a solicitar disparos ao CENAD sob protocolo mais rígido.
Technical links
Recommendations
- Tratar credenciais de servidores públicos como comprometidas por padrão: forçar redefinição imediata de senhas em todos os sistemas que aceitem CPF, data de nascimento ou padrões triviais como usuário e/ou senha.
- Impor MFA resistente a phishing (TOTP ou chave FIDO2) como pré-condição de acesso a qualquer sistema capaz de disparar alertas públicos ou acionar infraestrutura crítica; captcha aritmético não é fator de autenticação.
- Auditar e endurecer o controle de autorização (RBAC): credencial de perfil estadual não deve conseguir emitir nem tentar emitir alerta para UF fora de sua competência; validar isso com testes negativos.
- Revisar detecção de anomalia de sessão para reduzir a janela entre o primeiro disparo suspeito e o bloqueio — no incidente, o atacante seguiu operando com uma segunda credencial após o bloqueio da primeira.
- Correlacionar credenciais de servidores contra bases de vazamento conhecidas de forma contínua e proativa, invalidando acessos reincidentes antes que sejam reutilizados.
- Exigir da apuração técnica a distinção formal entre disparo pela cadeia oficial (IDAP/ABR Telecom) e transmissão por canal clandestino de cell broadcast, já que as duas hipóteses exigem contramedidas diferentes.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Vetor exato não confirmado: só a conclusão técnica da PF e da Anatel decide entre abuso de credencial no IDAP e transmissor clandestino de cell broadcast.
Número real de credenciais comprometidas: o MIDR diz duas, o ator diz três — resolveria uma perícia oficial sobre os logs de acesso do IDAP.
Autoria: a atribuição ao perfil 'Misantropo' é autoproclamada; só a investigação da PF pode confirmar ou refutar o vínculo entre o perfil e os disparos.
Número de estados afetados: fontes oscilam entre sete e oito mais o DF; um dado oficial consolidado resolveria.
Alcance de 30 milhões: é estimativa preliminar do governo, não medição; dados das operadoras sobre dispositivos alcançados fechariam o número.
Manifestação da ANPD: não localizei posição formal da autoridade de dados sobre a exposição das credenciais dos servidores; um pronunciamento esclareceria o tratamento regulatório.
Como e quando as credenciais dos servidores do Pará vazaram: não há confirmação da origem nem da data do vazamento que teria fornecido o acesso.
Existência real e status do grupo 'hadmage' citado pelo autor: não há verificação independente de que o grupo exista ou tenha participado.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.