Credenciais expostas, PJe fora por dez dias: o ataque que parou a Justiça de MT
Tribunal de Justiça de Mato Grosso (TJMT)
claimed on · assessed on
O TJMT confirmou, em comunicados oficiais sucessivos, que invasores exploraram uma vulnerabilidade aberta por um modelo de documento inserido indevidamente em 20/09/2026, comprometeram credenciais de rede (logins e senhas criptografadas) e derrubaram o PJe e demais sistemas por dez dias — a maior paralisação do Judiciário estadual de que se tem registro. Investigação criminal conduzida por PF e Polícia Civil ainda apura extensão do dano, autoria e possível conexão com ataques ao TJBA e ao Senado Federal.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O TJMT confirmou formalmente que credenciais de rede foram acessadas, o que constitui comprometimento de dado pessoal nos termos da LGPD e deveria ter disparado notificação à ANPD em até 72 horas. Nenhuma fonte identificou tal notificação até o fechamento deste relatório.
A narrativa do vetor — inserção de modelo de documento que 'abriu vulnerabilidade estrutural' — é consistente entre múltiplas fontes que a atribuem à própria CTI do Tribunal, mas permanece em nível de apuração preliminar; nenhum documento técnico primário foi publicado e o mecanismo exato (parsing malicioso, injeção em template engine, escalonamento de privilégio) não foi especificado pelo TJMT.
A hipótese de autoria compartilhada com os ataques ao TJBA (18/09/2026) e ao Senado Federal (março de 2026) é uma linha de investigação da PF, não uma conclusão: nenhuma autoridade confirmou identidade ou TTPs comuns entre os casos até o momento.
A magnitude operacional foi severa e verificada por portarias oficiais: dez dias de paralisação do PJe (21/09 a 30/09), suspensão de prazos processuais em 1.º e 2.º graus, cancelamento de audiências e sessões, retomada administrativa somente em 01/10/2026 via Portaria TJMT/PRES nº 1.384.
A afirmação de 'ausência de vazamento de dados pessoais' é uma declaração de ausência de evidência na data dos comunicados, não uma conclusão forense encerrada; com credenciais de rede comprometidas, o risco residual de uso futuro das senhas criptografadas — se quebradas offline — permanece real enquanto a redefinição não for totalmente concluída e auditada.
A investigação apura participação de servidores do TJMT ou funcionários da empresa terceirizada de TI, o que abre a hipótese de insider (intencional ou acidental) como origem da inserção do documento — dimensão que a narrativa pública tem subestimado.
Analysis
O incidente do TJMT é o maior registro de paralisação do Judiciário mato-grossense por causa cibernética — dez dias com o PJe fora do ar, prazos suspensos e audiências canceladas em toda a estrutura de 1.º e 2.º graus. A confirmação veio em etapas: primeiro como 'manutenção emergencial' (manhã de 21/09), depois como 'incidente de segurança' (tarde do mesmo dia) e, por fim, com a admissão de que credenciais foram comprometidas (23/09). Esse escalonamento progressivo de transparência é um padrão documentado em tribunais brasileiros após ataques e pode dificultar a análise de quem tenta reconstruir a sequência forense.
O vetor divulgado pela CTI do próprio Tribunal — inserção indevida de modelo de documento na tarde de domingo (20/09) que 'abriu vulnerabilidade estrutural' — é tecnicamente plausível e consistente com vetores conhecidos (parsing malicioso de OOXML, injeção em template engine de sistema de gestão documental, ou macro com execução de código). Porém, nenhum documento primário do Tribunal especificou o mecanismo. Essa lacuna é relevante: sem saber o tipo exato de vulnerabilidade, é impossível mapear se outros sistemas judiciais com infraestrutura similar estão expostos ao mesmo vetor. A IBSEC e o CISO Advisor, veículos especializados que cobriram o caso, também não avançaram além do nível descritivo.
A confirmação mais concreta do TJMT sobre o dano é objetiva: credenciais de rede — logins e senhas criptografadas — foram acessadas. Isso é comprometimento de dado pessoal nos termos da LGPD (Lei 13.709/2018, art. 46 e ss.), e a regulamentação exige notificação à ANPD em prazo razoável quando há risco ou dano relevante aos titulares. A IBSEC referenciou o prazo de 72 horas como referência. Até o fechamento deste relatório, nenhuma fonte confirmou que tal notificação foi feita, o que abre uma lacuna de conformidade regulatória além da lacuna técnica.
A investigação criminal é dupla e bem delimitada pelas fontes oficiais: PF cuida dos ambientes com integração ao CNJ (que têm alcance federal); Polícia Civil, via DRCI, cuida dos diretórios internos do Tribunal. Uma linha paralela investiga a possível participação de servidor interno ou funcionário de empresa terceirizada de TI como agente da inserção do documento — o que amplia o quadro de risco além do ataque externo puro. Essa hipótese foi confirmada por fontes que citam o TJMT como origem (Folha do Estado, CenárioMT), mas permanece aberta.
O contexto regional amplia a relevância do caso: três dias antes do ataque ao TJMT, o TJBA foi alvo de uma intrusão que resultou no desvio de R$ 43 milhões em depósitos judiciais via plataforma BRBJUS do BRB. Em março de 2026, o Senado Federal sofreu quebra de segurança com o mesmo padrão operacional de resposta (redefinição de senhas). A PF investiga se um mesmo grupo está por trás dos três episódios. Essa hipótese, tratada como linha de investigação por múltiplas fontes independentes, ainda não foi confirmada por nenhuma autoridade — e o tribunal baiano afirma que seus sistemas internos não foram atingidos, o que diferencia estruturalmente os dois casos.
A resposta operacional do TJMT foi documentada pelas portarias: a Portaria nº 1.370 (25/09) formalizou a retomada parcial; a nº 1.384 (30/09) encerrou a suspensão administrativa. O DCON registrou 66 eventos de instabilidade no PJe entre 28 e 30/09 antes de atingir 100% de disponibilidade. A cobertura do CNJ ao Programa Justiça [+Segura], que visitou o TJMT em maio de 2026, quatro meses antes do incidente, é um dado de contexto relevante: o programa existia, a visita ocorreu, e o ataque ainda assim aconteceu — o que sugere que a avaliação de maturidade e a implementação de controles não convergiram a tempo.
Timeline
- 26 May 2026CNJ visita o TJMT e apresenta o Programa Justiça [+Segura] de cibersegurança — quatro meses antes do ataque, sem que os controles fossem suficientes para preveni-lo.
- 18 Sep 2026Ataque cibernético atinge o Tribunal de Justiça da Bahia (TJBA), com desvio de R$ 43 milhões em depósitos judiciais via plataforma BRBJUS do BRB — episódio que a PF depois examinará como possível precursor do ataque ao TJMT.
- 20 Sep 2026Na tarde de domingo, a CTI do TJMT identifica posteriormente que houve inserção indevida de um modelo de documento no sistema — evento que, segundo apuração preliminar da própria CTI, abriu a vulnerabilidade estrutural explorada no dia seguinte.
- 21 Sep 2026O TJMT detecta o incidente, retira preventivamente o PJe e sistemas institucionais do ar. Portaria TJMT/PRES (manhã) cita 'manutenção emergencial'; nota posterior do mesmo dia confirma 'incidente de segurança'. Expediente e prazos suspensos em 1.º e 2.º graus por determinação do desembargador-presidente José Zuquim Nogueira.
- 22 Sep 2026Suspensão de expediente e prazos prorrogada para terça-feira. TJMT adota regime de contingência com plantão judiciário em papel para demandas urgentes.
- 23 Sep 2026Em nota publicada nas redes sociais, o TJMT confirma pela primeira vez que credenciais de rede — logins e senhas criptografadas — foram acessadas pelos invasores. Informa que não há evidências de acesso a dados pessoais adicionais, decisões judiciais ou backups. Todas as senhas estão sendo redefinidas (cerca de 6 mil, conforme fontes de imprensa).
- 24 Sep 2026O presidente do TJMT aciona formalmente a Polícia Federal e a Polícia Civil. PF assume a investigação dos ambientes com integração ao CNJ; Polícia Civil, via DRCI, apura a rede interna do Tribunal. PJe segue fora do ar.
- 25 Sep 2026Portaria TJMT/PRES nº 1.370 determina retomada do atendimento externo a partir de 28/09, mas mantém prazos processuais suspensos até 30/09. Prazos administrativos permanecem suspensos até nova deliberação.
- 26 Sep 2026Convergência Digital e Fenati reportam que a PF investiga se o ataque ao TJMT é obra do mesmo grupo responsável pelo ataque ao TJBA (18/09) e ao Senado Federal (março de 2026). Hipótese tratada como linha de investigação, não confirmada.
- 28 Sep 2026Retomada parcial: PJe volta a funcionar (acesso direto pelos endereços do sistema, sem passar pelo portal principal). Atendimento ao público externo normalizado. Prazos processuais ainda suspensos.
- 30 Sep 2026Relatório do DCON registra 66 eventos de indisponibilidade no PJe entre 28 e 30/09 — todos solucionados. Sistema atinge 100% de disponibilidade externa ao fim do dia.
- 01 Oct 2026Portaria TJMT/PRES nº 1.384 determina retomada do atendimento administrativo e dos prazos processuais. Redução do índice de risco cibernético e queda na demanda por suporte técnico registradas pelo TJMT.
Data involved
Impact
Dez dias de paralisação do PJe em 1.º e 2.º graus afetaram diretamente advogados, partes, magistrados e servidores em todo o Estado de Mato Grosso. Audiências e sessões de julgamento foram canceladas e deverão ser redesignadas. Prazos processuais físicos e eletrônicos ficaram suspensos de 21/09 a 30/09 (com exceção dos processos de execução penal no SEEU). Credenciais de rede de usuários — logins e senhas criptografadas — foram confirmadamente acessadas; o TJMT realizou a redefinição de aproximadamente 6 mil senhas como medida de contenção. Ambientes integrados ao CNJ foram atingidos, o que justificou a atuação federal da PF. A retomada gradual (PJe em 28/09, expediente administrativo em 01/10) gerou 66 eventos de instabilidade residual antes da estabilização. Não há registro confirmado de desvio financeiro ou sequestro de dados no caso do TJMT — diferentemente do TJBA, onde R$ 43 milhões em depósitos judiciais foram desviados via BRB.
Technical links
Recommendations
- Auditar e restringir permissões de upload em sistemas de gestão documental: apenas usuários e perfis com necessidade comprovada devem poder inserir templates ou modelos; o evento de inserção deve gerar alerta em SIEM em tempo real.
- Implementar análise estática e em sandbox de todos os arquivos de template antes de processamento pelo sistema — independentemente da origem (interno ou externo): documentos OOXML, ODT e similares podem conter macros, vínculos externos e payloads que ativam durante o parsing.
- Com cerca de 6 mil credenciais comprometidas, validar que a redefinição foi concluída para 100% dos usuários ativos e que as senhas antigas foram invalidadas em todos os sistemas integrados, incluindo ambientes CNJ.
- Revisar a segmentação de rede entre o sistema de gestão documental e a infraestrutura crítica (PJe, bases de dados de credenciais): uma vulnerabilidade em módulo de upload não deveria propagar-se lateralmente até comprometer autenticação de rede.
- Verificar a obrigação de notificação à ANPD: credenciais de rede de servidores e magistrados constituem dado pessoal; a LGPD e a Resolução CD/ANPD nº 2/2022 estabelecem critérios de notificação que devem ser avaliados com assessoria jurídica especializada.
- Rever o contrato e os controles de acesso da empresa terceirizada de TI: a investigação apura possível participação de funcionários terceirizados — o que exige revisão do modelo de confiança, dos privilégios concedidos e dos logs de atividade desse grupo.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Mecanismo técnico exato da vulnerabilidade aberta pelo modelo de documento não foi publicado pelo TJMT nem por pesquisadores independentes — um relatório técnico público do Tribunal ou análise forense de terceiros resolveria esta lacuna.
Identidade ou atribuição do ator (externo, insider, ou combinação) permanece aberta — a conclusão das investigações da PF e da DRCI/Polícia Civil resolveria.
Notificação à ANPD: não há confirmação pública de que a notificação exigida pela LGPD foi feita — resposta oficial do Tribunal ou da ANPD resolveria.
Conexão com ataques ao TJBA (18/09) e ao Senado Federal (março/2026) é hipótese de investigação, não conclusão — relatório final da PF ou indiciamento resolveria.
Participação de servidor interno ou funcionário de empresa terceirizada de TI na inserção do documento é linha investigada — conclusão do inquérito resolveria.
Extensão real do acesso às credenciais: o Tribunal afirma não haver evidências de acesso além de logins e senhas criptografadas, mas isso reflete o estado da investigação na data dos comunicados, não uma conclusão forense — laudo pericial completo resolveria.
Status da conformidade com a LGPD e eventual instauração de processo administrativo pela ANPD não foram confirmados — manifestação da ANPD resolveria.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.