ByteToBreach invade o Tesouro húngaro dias após destruir Romania
O Tesouro Nacional da Hungria confirmou um ataque combinado de exfiltração e criptografia contra a divisão de Agricultura e Desenvolvimento Rural (MVH/Agência Nacional de Pagamentos), executado pelo mesmo ator — ByteToBreach — que destruiu o registro de terras da Romênia semanas antes. O Tesouro nega perda de dados de cidadãos, mas fontes independentes indicam que a exfiltração precedeu a criptografia e que dados já foram colocados à venda em fóruns clandestinos, contradizendo parcialmente a versão oficial.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O ataque foi real e confirmado pela própria vítima: servidores foram isolados, arquivos de funcionários foram criptografados e a NAIH foi notificada formalmente.
A versão oficial do Tesouro — de que nenhum dado foi perdido ou exfiltrado — é contraditada pela Risky Business e pelo Telex, que reportam exfiltração prévia à criptografia e parte dos dados já à venda em fóruns; a distância entre as duas versões é um sinal de alarme, não de tranquilidade.
O vetor de entrada alegado pelo Telex — servidor Oracle WebLogic sem patches — é consistente com o histórico documentado de ByteToBreach em outros alvos (Seychelles Commercial Bank, Eurofiber), o que eleva a plausibilidade desse vetor, mas ele não foi confirmado oficialmente.
A atribuição do ataque a ByteToBreach é corroborada por múltiplas fontes independentes (KELA, Dark Web Informer, Risky Business, Telex) e pelo próprio ator, que admitiu a intrusão após inicialmente negar conhecimento dos dados; a atribuição à pessoa física Zakaria Mahdjoub (Oran, Argélia) vem da KELA com base em artefatos de infostealer e cookies — consistente, mas não confirmada por autoridades húngaras.
A hipótese de nexo com atores russos estatais, levantada pelo Tesouro com base na origem dos servidores, tem baixa sustentação: o próprio ByteToBreach negou mandato estatal, seu histórico é de motivação financeira pura, e o roteamento por servidores russos é técnica rotineira de obfuscação por atores criminosos independentes.
O escopo real do ataque pode ser maior do que o Tesouro admite: as 13 capturas de tela publicadas pelo ator documentam acesso ao vCenter VMware e ao cofre do Oracle Identity Manager, o que significa controle potencial sobre toda a camada de virtualização e credenciais da organização — não apenas sobre a divisão agrícola.
Analysis
O Tesouro Nacional da Hungria (Magyar Államkincstár) confirmou o ataque em 2 de agosto de 2026, três semanas depois que o mesmo ator havia destruído o registro de terras da Romênia. A unidade afetada é a divisão de Agricultura e Desenvolvimento Rural, que opera como Agência Nacional de Pagamentos (MVH) e administra repasses de fundos agrícolas e de desenvolvimento rural da UE. O Tesouro isolou servidores comprometidos, notificou a NAIH (autoridade de proteção de dados), o Escritório Nacional de Investigação e o Serviço Especial de Segurança Nacional, e afirmou que dados de cidadãos não foram afetados.
A versão oficial, porém, colide com o que fontes independentes apuram. A Risky Business e o Telex reportam que o incidente foi, na verdade, uma exfiltração de dados seguida de um ataque de criptografia com uma cepa de ransomware descrita como 'altamente volátil e frágil' — a mesma dinâmica do caso romeno. Parte dos dados já apareceu à venda em fóruns clandestinos, segundo o CISO Advisor, o que contradiz diretamente a afirmação de que não houve perda de dados. A distância entre o que o Tesouro admite e o que fontes independentes documentam é, ela própria, uma informação relevante.
O ator ByteToBreach publicou 13 capturas de tela detalhando a cadeia de intrusão: foothold inicial, persistência, exploração de serviços Oracle WebLogic e JDWP expostos, movimentação lateral por floresta do Active Directory, acesso ao cofre Oracle Identity Manager e, finalmente, tomada do vCenter VMware. Se essas capturas forem autênticas — e o Tesouro não as contestou publicamente —, o acesso obtido não se restringia à divisão agrícola: o vCenter controla toda a camada de virtualização e o Identity Manager governa credenciais em todo o ambiente. O Tesouro afirmar que só o MVH foi afetado pode ser tecnicamente impreciso ou uma delimitação deliberada do escopo admitido.
O vetor de entrada apontado pelo Telex é um servidor Oracle WebLogic sem patches. Isso é consistente com o padrão operacional documentado de ByteToBreach: o ator explora sistematicamente infraestrutura voltada para a internet com CVEs conhecidos, abusa de credenciais roubadas por infostealers e usa frameworks C2 como o Sliver. No caso do Seychelles Commercial Bank, o próprio KELA documentou exploração de WebLogic pelo mesmo ator. Não há CVE específico confirmado para este incidente.
A hipótese de conexão com atores russos estatais, levantada pelo Tesouro com base na origem dos servidores de ataque, tem pouca sustentação. ByteToBreach negou mandato estatal, seu histórico documentado é de motivação exclusivamente financeira, e a Risky Business confirma que seu padrão de atividade 'parece focado em ganhar dinheiro de onde puder, mais do que fazer declarações políticas'. Rotear tráfego por servidores russos é técnica comum de obfuscação. A hipótese não deve ser descartada formalmente enquanto a investigação estiver em curso, mas ela não tem evidência corroborativa além da geolocalização do servidor.
A atribuição do ator à pessoa física Zakaria Mahdjoub (Oran, Argélia) foi feita pela KELA com base em artefatos de infostealer, cookies de navegador e identificadores digitais consistentes entre plataformas. É uma atribuição de inteligência com suporte técnico — não uma confirmação judicial. Autoridades húngaras e romenas ainda não confirmaram publicamente essa identificação. O fato de KELA tê-la publicado abertamente pode, no entanto, influenciar investigações policiais em curso em dois países simultaneamente.
Timeline
- 01 Jun 2025ByteToBreach torna-se ativo em fóruns underground; histórico documentado pela KELA começa nesta data aproximada.
- 01 Aug 2025ByteToBreach cria site 'Pentesting Ltd' no WordPress para promover suas atividades, exibindo logos de vítimas como suposta carteira de clientes.
- 14 Jul 2026ByteToBreach invade e destrói o banco de dados do registro de terras da Romênia (ANCPI) após extorsão fracassada — ataque precursor ao da Hungria.
- 15 Jul 2026KELA identifica e publica atribuição de ByteToBreach a Zakaria Mahdjoub, Oran, Argélia, com base em artefatos de infostealer e cookies de navegador.
- 31 Jul 2026Dark Web Informer registra alegação de ByteToBreach afirmando ter comprometido o Magyar Államkincstár, com publicação de 13 capturas de tela documentando cadeia de intrusão incluindo vCenter e Oracle Identity Manager.
- 02 Aug 2026Magyar Államkincstár confirma o ataque publicamente ao Telex; informa que servidores foram isolados e que o Instituto Nacional de Cibersegurança (NBSZ) está investigando. O Tesouro notifica formalmente a NAIH.
- 03 Aug 2026Veículos húngaros (444.hu, Portfolio, Pénzcentrum, Privátbankár) publicam cobertura. Especialistas ouvidos pelo Telex classificam o incidente como 10/10 em gravidade com base nas capturas de tela do atacante. ByteToBreach nega nexo russo e admite motivação financeira.
- 05 Aug 2026CISO Advisor publica cobertura em português. Risky Business reporta que o incidente envolveu exfiltração de dados seguida de criptografia com ransomware 'altamente volátil e frágil', contrariando a narrativa oficial de ausência de perda de dados.
Data involved
Impact
Impacto operacional confirmado: serviços eletrônicos da divisão de Agricultura e Desenvolvimento Rural ficaram parcialmente indisponíveis durante a fase de contenção. Arquivos em estações de trabalho de funcionários foram criptografados. A MVH administra repasses de fundos agrícolas da UE a produtores rurais húngaros; interrupções nesses sistemas afetam pagamentos e processamento de benefícios. O Tesouro não quantificou o número de sistemas afetados nem o volume de dados eventualmente exfiltrados. Dado que o Magyar Államkincstár também administra pensões e benefícios familiares, e que as capturas de tela do atacante documentam acesso ao cofre de identidade e ao vCenter, o potencial de impacto em sistemas além do MVH permanece não descartado e não confirmado.
Technical links
Recommendations
- Organizações que operam Oracle WebLogic voltado para internet devem auditar imediatamente a versão instalada e aplicar os patches mais recentes; o ator demonstrou uso recorrente de CVEs conhecidos nessa plataforma em pelo menos dois incidentes confirmados.
- Ambientes que expõem JDWP (Java Debug Wire Protocol) em interfaces acessíveis devem desabilitar ou segmentar esse serviço; a cadeia de intrusão documentada pelo ator menciona JDWP explicitamente como ponto de exploração.
- Revisar segmentação de rede entre o ambiente de aplicação e o vCenter/VMware: acesso ao vCenter a partir de um host comprometido na camada de aplicação indica ausência de segmentação efetiva entre camadas de virtualização e workloads.
- Cofres de identidade (Oracle Identity Manager ou equivalentes) devem ter acesso restrito por MFA e por redes isoladas; acesso a partir de hosts não privilegiados indica controle de acesso insuficiente no plano de gerenciamento.
- Organizações que processam fundos da UE e dados de beneficiários agrícolas devem revisar planos de notificação de titulares sob GDPR: se a exfiltração for confirmada, o prazo de 72 horas para notificação à autoridade supervisora pode já ter sido ultrapassado.
- Monitorar ativamente fóruns underground para amostras de dados relacionados ao incidente; a presença de dados à venda — se confirmada — altera a avaliação de risco para beneficiários e funcionários.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
O Tesouro não contestou publicamente as 13 capturas de tela publicadas pelo atacante; uma declaração técnica oficial sobre o que cada imagem representa (ou não representa) resolveria a lacuna sobre o escopo real do acesso.
Nenhuma autoridade húngara confirmou ou negou a atribuição de ByteToBreach a Zakaria Mahdjoub feita pela KELA; confirmação policial ou judicial tornaria a atribuição de alta confiança.
O CVE específico explorado no servidor Oracle WebLogic não foi divulgado; a publicação do CVE permitiria às organizações com infraestrutura similar priorizar patches.
A cepa de ransomware usada na criptografia dos arquivos não foi identificada publicamente; análise forense do malware esclareceria se há indícios de tooling compartilhado com outros grupos.
O status da investigação da NAIH sobre possível violação de dados pessoais não foi publicado; uma decisão formal da autoridade definiria se há obrigação de notificação de titulares.
Não há confirmação independente sobre se dados exfiltrados chegaram efetivamente a fóruns ou foram vendidos; análise de amostras publicadas (sem reprodução de conteúdo sensível) resolveria a contradição entre a versão oficial e a reportagem da Risky Business.
O impacto sobre a divisão de pensões mencionada pelo Portfolio não foi confirmado pelo Tesouro; uma declaração específica sobre esse escopo é necessária.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.