Michigan State: BYOD alega dados de 1 milhão, sem prova

O registro que tínhamos usava a manchete do The Record como nome da vítima e deixava ator, país e setor vazios. Corrigido: a vítima é a Michigan State University (EUA, educação) e o ator que reivindica é a BYOD. O selo 'claimed' e o veredito 'unverified' continuam corretos. Nada que li justifica promovê-los.

O que a MSU admite: em 1º de outubro pediu a troca de senha de toda a comunidade. Segundo a porta-voz, ouvida pelo The State News em 5 de outubro, o evento era focado em acessar credenciais de usuário. Ela disse que ele não indicava comprometimento bem-sucedido do Active Directory e que não havia evidência de roubo de outros dados. Ao The Record, em 2 de novembro, a universidade confirmou apenas que soube de atividade suspeita no início de outubro e investigou de imediato. Não encontrei nota pública da MSU que confirme ou negue o roubo de dados após a publicação da BYOD.

O que a BYOD alega: segundo a transcrição do ransomware.live, o post fala em informações pessoais completas de 'mais de 1 milhão' de alunos atuais e antigos, 'a equipe' ligada à MSU, senhas atuais e antigas e 'comprometimento total' do sistema. O texto diz que o post só sairá quando houver comunicação com a equipe do grupo, o que é a mecânica padrão de pressão para negociar. Não vi amostra, contagem de arquivos ou prova de acesso. O próprio ransomware.live avisa que se trata de grupo emergente e que a alegação exige cautela.

A distância entre os números é informação. O The Record escreve 1,3 milhão. O ransomware.live, que transcreve o post, escreve 1,03 milhão. Não consegui abrir o post original, então não sei qual está certo. Pelo menos um dos dois tem erro de digitação ou de interpretação, e é um lembrete de que o número circula por cópia, não por verificação. Para ordem de grandeza: em 2016 a MSU confirmou o acesso indevido a um banco com cerca de 400 mil registros de alunos e funcionários atuais e antigos. Um milhão de registros históricos de alunos é plausível em escala, mas isso não é prova de que esses dados foram roubados agora.

O ponto em que as versões colidem: o grupo fala em 'comprometimento total', e a MSU disse em outubro que o AD não foi comprometido com sucesso. Há duas leituras compatíveis com o que existe. A primeira: credenciais de usuário foram obtidas e usadas para acessar sistemas de dados de alunos sem tocar no AD, o que daria razão a ambos em parte. A segunda: a BYOD infla o alcance, prática comum no setor, e usa o evento de outubro, já público no campus, como lastro de credibilidade. Os dados atuais não permitem escolher entre as duas. A declaração da MSU de que as alegações estão ligadas ao incidente de outubro é o elo mais forte a favor de a BYOD ter algum acesso, mas não mede o que foi levado.

Sobre a natureza do caso: nenhuma fonte indica criptografia ou indisponibilidade de sistemas na MSU. O que existe é alegação de roubo de dados. Chamar de 'ataque de ransomware' pela reputação do grupo é enquadramento do veículo. O 'ataque a hospital' do título se refere à UNM, e a MSU não teve incidente hospitalar associado nas fontes lidas. Convém também não confundir com outros 'MSU' de 2026: Mississippi State e MSU Denver aparecem nas buscas por outros motivos, como o incidente do Canvas/Instructure, e não têm relação com este caso.

Sobre o ator: a BYOD é nova, com primeira aparição em setembro ou início de outubro de

2026. Fontes divergem sobre o número de vítimas listadas (seis segundo o BleepingComputer, cerca de dez segundo o databreach.com, 13 segundo o SOCRadar), o que reflete a data de cada contagem e o ruído dos agregadores. No caso UNM, o impacto operacional foi real e a universidade recuperou sistemas hospitalares em cerca de um dia. A BYOD alegou ali 36.000 máquinas, os dois AD forests, o tenant Entra e dois bancos Oracle. Até onde li, a UNM não confirmou publicamente o roubo de dados, e o databreach.com relatou que o site do grupo estava fora do ar e que nada da UNM tinha sido publicado. A BYOD ainda não tem histórico de publicar dados de vítimas, o que impede medir a veracidade das alegações de roubo.

Em potencial, ex-alunos e alunos da MSU, além de funcionários, cujas credenciais e dados pessoais teriam sido acessados. Isso não está confirmado: a MSU disse em outubro que não havia evidência de roubo de dados, e não encontrei notificação a afetados nem registro em autoridade. Impacto operacional comprovado na MSU: o reset de senhas de toda a comunidade em outubro. Não vi interrupção de serviços. Há escritórios de advocacia de ações coletivas investigando o caso, o que ainda não é evidência de dano.