Alertas falsos de Extremo: Defesa Civil abusada via credenciais vazadas há anos

É preciso separar quatro camadas que quase toda a cobertura embaralha: o que a vítima admite, o que o regulador afirma, o que o ator alega e o que a evidência sustenta. A Defesa Civil Nacional admite, em nota oficial, que a plataforma foi acionada remotamente por alguém alheio ao sistema e classificou o episódio como 'provável ataque hacker' — note o 'provável', que é linguagem de hipótese, não de conclusão fechada.

O documento do MIDR encaminhado à Polícia Federal é a peça mais concreta: aponta dez envios suspeitos entre 19 e 20 de junho, com forte indício de uso indevido do sistema a partir de credenciais de dois agentes da Defesa Civil do Pará. O mesmo documento registra um segundo problema, muitas vezes ignorado na cobertura: os usuários tinham perfil estadual, mas os alertas foram direcionados a UFs fora de sua área de autorização — ou seja, além da falha de autenticação, houve falha de restrição territorial (RBAC). Isso é evidência de fragilidade de arquitetura, não apenas de senha fraca.

A versão do ator vem do perfil 'Misantropo' via entrevista ao TecMundo. Ele alega credenciais vazadas antigas, CPF usado como login e senha, autenticação protegida apenas por um captcha de conta matemática simples, e três credenciais (não duas) com autorizações regionais distintas. Duas ressalvas de peso, ambas explicitadas pela própria reportagem: o TecMundo confirmou que falava com o dono do perfil do X, mas não obteve prova que ligasse o perfil ao incidente; e as supostas credenciais não puderam ser verificadas de forma independente por vias legais. Ou seja, a narrativa é coerente e plausível, mas permanece não confirmada.

Aqui mora a contradição que impede fechar o caso: a Anatel afirmou que 'os alertas em questão não passaram pelos canais oficiais da plataforma técnica operada pela ABR Telecom'. Essa frase é ambígua e comporta duas leituras opostas. Uma: os alertas entraram por trás dos controles de validação da cadeia oficial (compatível com abuso de credencial no IDAP mais falha de restrição). Outra, levantada por análise técnica independente: o padrão se assemelha a episódios anteriores em Curitiba (fevereiro/2026) e São Paulo (setembro/2025), atribuídos a transmissores clandestinos operando no canal de cell broadcast do padrão PWS/3GPP — que produzem a tela 'Defesa Civil' sem tocar na plataforma nacional. Não há, nas fontes públicas até aqui, conclusão oficial que decida entre as duas hipóteses.

O peso da evidência favorece a tese do abuso de credenciais: existe documento do próprio governo apontando as contas do Pará, existe a exposição do nome do titular de uma credencial nos próprios vídeos do autor, e a autenticação frágil descrita é consistente com o histórico do setor público. Mas a tese da estação clandestina não pode ser descartada só porque é menos citada — e é justamente o tipo de hipótese que o rigor exige manter viva enquanto a apuração da Anatel e da PF não conclui.

Sobre a Operação Nexus Fractus: é real, de março de 2026, e mira um policial civil aposentado por consulta irregular a bases públicas no DF. Nenhuma fonte estabelece ligação entre essa operação e o caso da Defesa Civil. Ela entra como contexto do ecossistema de dados públicos vazados e reutilizados, não como elo causal — e deve ser lida assim para não fabricar uma conexão que a evidência não sustenta.

Dois números merecem cautela. Estados afetados: parte das fontes fala em sete estados mais o DF, outra parte em oito estados mais o DF; a divergência parece vir da contagem do Acre e da inclusão ou não de UFs que sofreram tentativa sem sucesso. O alcance de 'cerca de 30 milhões de pessoas' é estimativa preliminar do próprio governo, não medição fechada — o secretário chegou a dizer inicialmente que os números 'podem estar na casa de milhões', sem precisão.

Correção ao nosso registro: o selo 'confirmed / real' está forte demais para 'credenciais' como tipo de dado vazado. O que está confirmado é o disparo não autorizado e o dano; o vetor exato (credential stuffing no IDAP versus estação clandestina) e o número de credenciais seguem em disputa. Recomenda-se rebaixar a caracterização do vetor para 'provável, não confirmado' até manifestação conclusiva da PF ou da Anatel.

Cerca de 30 milhões de pessoas em sete a oito estados e no DF receberam, de madrugada, um alerta de nível Extremo — o mesmo canal (cell broadcast) que toca com o celular no silencioso e interrompe qualquer aplicativo, projetado para ser irresistível em emergências reais. O impacto direto foi pânico e confusão em capitais como São Paulo, Rio, Belo Horizonte, Curitiba, Salvador, Campo Grande, Brasília e Rio Branco, incluindo interrupções ao vivo em transmissões da Copa (ESPN e CazéTV). O dano estrutural é a erosão de confiança no sistema: um canal que só funciona se a população reage sem hesitar teve sua credibilidade publicamente quebrada. Resposta concreta: o Defesa Civil Alerta ficou fora do ar por cerca de 36 horas e voltou restrito — apenas o CENAD, em Brasília, pode disparar; as Defesas Civis estaduais perderam acesso direto e passam a solicitar disparos ao CENAD sob protocolo mais rígido.