Dígitro: vazamento de 3,39 TB alegado sem confirmação oficial
Corrigimos nosso próprio registro: o vazamento da Dígitro é uma ALEGAÇÃO publicada pelo DDoSecrets a partir de fonte anônima (3,39 TB, publicado por volta de 08/04/2026), não um fato confirmado pela vítima nem por regulador — o selo interno 'confirmado/real' está acima do que a evidência sustenta e deve ser rebaixado. As três CVEs que o CTIR Gov associa ao caso são de maio de 2025, descobertas por pesquisador independente, afetam exclusivamente o produto NGC Explorer (não o Guardião), e não há evidência pública de nexo causal entre elas e o vazamento.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
A ocorrência de um vazamento de dados da Dígitro é uma alegação de fonte anônima intermediada pelo DDoSecrets; a autenticidade e a extensão do material não foram confirmadas pela empresa nem por regulador até o fechamento das fontes apuradas.
O CTIR Gov tratou o incidente como real e crítico em recomendação oficial, o que eleva a plausibilidade do vazamento, mas o CTIR não afirma ter validado a autenticidade do conteúdo — trata a publicação como fato reportado, não como evidência forense própria.
O vínculo causal entre as CVEs (CVE-2025-4526/4527/4528) e o vazamento é narrativo, não demonstrado: as falhas foram divulgadas em maio de 2025 por pesquisador independente, quase um ano antes do leak, e afetam apenas o NGC Explorer em versões ≤3.48.21.
Os sistemas Guardião e UNA não são afetados pelas três CVEs citadas, segundo a própria Dígitro e a atualização posterior do CTIR (Recomendação 10/2026) — o que contradiz a leitura de que as vulnerabilidades expõem diretamente o núcleo de interceptação.
O volume alegado de 3,39 TB refere-se ao tamanho do pacote publicado, não a um número de registros ou de titulares afetados; nenhuma fonte quantificou pessoas ou investigações efetivamente expostas.
A gravidade potencial do caso é alta pela natureza do fornecedor (interceptação legal para forças policiais), mas o impacto concreto permanece não comprovado por ausência de análise forense pública do conteúdo.
Análisis
Nosso registro interno marcava este caso como 'confirmado/real' com tipos de dado 'código-fonte, bancos de dados, arquivos internos'. A apuração obriga a rebaixar esse selo. O que existe é uma alegação: o coletivo DDoSecrets publicou, a partir de fonte anônima, um pacote de 3,39 TB atribuído à Dígitro. Essa é a origem de todos os números que circulam. Não localizamos, até o fechamento, qualquer confirmação de autenticidade emitida pela própria empresa, pela ANPD ou por autoridade policial.
É importante separar as quatro camadas. O ATOR (fonte anônima via DDoSecrets) alega 3,39 TB de bancos, código e arquivos internos. A VÍTIMA (Dígitro) não confirmou nem negou publicamente a autenticidade do vazamento — manifestou-se apenas sobre as CVEs, tema distinto. O REGULADOR (ANPD) não consta com manifestação pública específica sobre este caso nas fontes apuradas. E a EVIDÊNCIA independente do conteúdo — uma análise forense de terceiros validando amostras — não foi encontrada. A imprensa que apurou (ICL/Agência Pública) tratou o caso explicitamente como 'suposto vazamento'.
O CTIR Gov é a fonte que mais eleva a plausibilidade, porque um CERT governamental não emite recomendação crítica sobre um vazamento que considere fabricado. Mas mesmo o CTIR descreve o incidente como algo 'publicado pelo DDoSecrets', ou seja, reporta a publicação — não afirma ter periciado o material. Confiança na existência de algum vazamento: moderada a alta. Confiança na extensão e no conteúdo exato alegado: baixa, por falta de validação independente.
O ponto onde nossa análise anterior mais precisa de correção é o encadeamento entre as CVEs e o leak. As três vulnerabilidades — CVE-2025-4526 (senha sem mascaramento na página de configuração), CVE-2025-4527 (validação de segurança no lado cliente, exploração considerada difícil) e CVE-2025-4528 (expiração de sessão insuficiente) — foram divulgadas em maio de 2025 por um usuário do VulDB, quase um ano antes da publicação do vazamento. Os próprios registros indicam que o fornecedor foi contatado e não respondeu na época. São falhas de severidade baixa a média (CVSS v3.1 em torno de 3.7 para a 4527), não RCE. Não há, nas fontes públicas, demonstração de que essas falhas foram o vetor de entrada do vazamento. A construção 'podem ter facilitado o acesso ou ser exploradas a partir do código vazado' é uma hipótese do CTIR, não um achado.
Há ainda uma correção de escopo relevante. A narrativa dominante — inclusive a nossa — sugeria que a exposição atinge diretamente o Guardião, o sistema de interceptação legal. Mas tanto a Dígitro quanto a atualização do CTIR (Recomendação 10/2026) afirmam que as CVEs se restringem ao NGC Explorer em versões iguais ou inferiores à 3.48.21 e que Guardião e UNA não são afetados por elas. Isso não elimina o risco do vazamento de código-fonte em si, mas desfaz a ligação direta 'CVE → Guardião' que dava à história parte de sua gravidade.
Sobre a fonte primária do leak: o DDoSecrets é uma organização com histórico consolidado de publicação de grandes vazamentos de interesse público, o que dá credibilidade ao fato de existir um pacote de dados — mas o coletivo é intermediário, não autor da coleta, e o material vem de fonte anônima. Isso o coloca, na escala Admiralty, como fonte cuja confiabilidade quanto à origem do dado não pode ser tratada como de regulador. A credibilidade da informação depende de validação que ninguém, publicamente, fez até agora.
O comportamento da Dígitro reforça a leitura de que algo aconteceu, sem confirmá-lo: a empresa correu para esclarecer as CVEs, coordenou-se com o CTIR e publicou notas técnicas, mas evitou tratar publicamente a questão central — a autenticidade e o escopo do que foi extraído. Silêncio sobre o vazamento e loquacidade sobre as CVEs é, em si, um dado: a discussão foi deslocada do incidente (difícil de admitir para uma Empresa Estratégica de Defesa) para a remediação técnica (defensável e sob controle).
Em resumo, o caso é real como evento de exposição pública de dados atribuídos à Dígitro e como objeto de recomendação oficial; é não confirmado quanto à autenticidade e à extensão do conteúdo; e o elo com as CVEs é conjectural. Nosso selo deve refletir isso.
Cronología
- 10 may 2025Pesquisador independente (usuário 'j369') divulga via VulDB três vulnerabilidades no Dígitro NGC Explorer 3.44.15; segundo o registro, o fornecedor foi contatado previamente e não respondeu.
- 11 may 2025CVE-2025-4526, CVE-2025-4527 e CVE-2025-4528 são publicadas oficialmente (assigner VulDB).
- 08 abr 2026Material atribuído à Dígitro (3,39 TB: bancos de dados, repositórios de código e arquivos internos) aparece no repositório do DDoSecrets, segundo apuração do ICL.
- 14 abr 2026ICL Notícias publica a reportagem; a Dígitro não respondeu ao pedido de posicionamento até o fechamento e o caso ainda não havia sido comentado por órgãos federais.
- 17 abr 2026CTIR Gov atualiza a Recomendação 05/2026, classificando o vazamento como crítico e recomendando patches, isolamento de interfaces e auditoria de credenciais.
- 20 may 2026Dígitro publica esclarecimento afirmando que as vulnerabilidades se restringem ao NGC Explorer (≤3.48.21) e não afetam Guardião nem UNA, e que já foram corrigidas.
- 21 may 2026Dígitro emite nota técnica sobre a Recomendação 09/2026, detalhando correções de sessão e validações no lado servidor.
- 21 may 2026CTIR Gov publica a Recomendação 10/2026, em conjunto com a fabricante, confirmando que as CVEs foram corrigidas e que Guardião e UNA não são afetados.
Datos involucrados
Impacto
Impacto confirmado: o CTIR Gov emitiu três recomendações (05, 09 e 10/2026) orientando órgãos federais e usuários dos produtos Dígitro a aplicar patches no NGC Explorer, bloquear administração remota (SSH/RDP/HTTP admin) a partir de redes externas, segregar redes e auditar credenciais e chaves de API. Isso significa trabalho operacional real imposto a mais de 150 instituições que usam soluções da empresa. Impacto potencial, não comprovado: se o pacote de 3,39 TB for autêntico e incluir código-fonte funcional de sistemas de interceptação, atores poderiam estudar a arquitetura para engenharia reversa e ataques direcionados; nenhuma fonte demonstrou que isso ocorreu, nem quantificou titulares ou investigações efetivamente expostos. Não há número de pessoas afetadas apurável, porque o conteúdo não foi periciado publicamente. Não há, nas fontes apuradas, sanção, processo da ANPD ou boletim de ocorrência ligado especificamente a este caso.
Enlaces técnicos
Recomendaciones
- Inventariar instâncias de NGC Explorer e confirmar a versão: aplicar atualização para versão superior à 3.48.21 pelos canais oficiais da fabricante e validar integridade dos pacotes antes de instalar.
- Bloquear no firewall protocolos de administração remota (SSH, RDP, HTTP/HTTPS administrativo) apontados para infraestrutura Guardião, UNA ou NGC Explorer a partir de redes externas não confiáveis.
- Segregar redes administrativas das redes de usuários e da internet, e retirar interfaces de configuração de exposição pública.
- Rotacionar credenciais, tokens, chaves de API e segredos que possam ter constado em repositórios de código, partindo da premissa de que qualquer segredo hardcoded está comprometido.
- Ativar autenticação multifator e políticas de expiração/invalidação de sessão para mitigar reutilização de sessões (endereça o risco descrito na CVE-2025-4528).
- Monitorar logs por comunicações anômalas e tentativas de acesso não autorizado a sistemas Dígitro mesmo após atualização, e reportar suspeitas ao CTIR Gov.
- Tratar toda alegação de volume (3,39 TB) e de conteúdo como não verificada em comunicações internas, até que haja validação forense — evitar amplificar números não confirmados em avaliações de risco.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Autenticidade do material: nenhuma pericia independente validou amostras do pacote de 3,39 TB — resolveria isso a análise forense por pesquisador ou veículo com acesso ao conteúdo, publicando metodologia (sem expor os dados).
Posição da vítima sobre o vazamento: a Dígitro só se manifestou sobre as CVEs — resolveria uma nota oficial confirmando ou negando a autenticidade e a extensão do que foi extraído.
Vetor de entrada: não se sabe como os dados foram obtidos — resolveria um relatório de resposta a incidente (mesmo resumido) indicando se as CVEs, credenciais vazadas ou outro caminho foram usados.
Manifestação da ANPD: não há registro público de comunicação de incidente ou apuração pela autoridade — resolveria uma consulta formal à ANPD ou publicação de processo administrativo.
Conteúdo por trás dos dados: não está claro se o material inclui interceptações, dados de investigações em curso ou apenas artefatos de desenvolvimento — resolveria uma descrição categorizada do conteúdo por parte de quem o analisou.
Data exata da coleta: sabe-se a data de publicação (~08/04/2026), não quando os dados foram efetivamente exfiltrados — resolveria carimbo temporal dos arquivos ou informação da própria empresa.
Escopo dos clientes afetados: não há lista de quais dos 150+ órgãos rodam versões vulneráveis do NGC Explorer — resolveria levantamento do CTIR ou da fabricante sobre a base instalada exposta.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.