CSDD da Letônia: dois terços da população expostos, diretoria cai

O incidente é tecnicamente um caso de exfiltração via exploração de vulnerabilidade em sistema web-exposto, sem ransomware e sem reivindicação pública de autoria. O CERT.LV confirmou que a falha estava em um sistema CSDD acessível pela internet, que não havia sido corrigida e que, segundo as informações disponíveis, também não havia sido detectada anteriormente. A investigação do CERT.LV apurou ainda que vários requisitos obrigatórios do Conselho de Ministros letão não foram cumpridos — entre eles a realização de testes de penetração e o uso de autenticação multifator em sistemas classificados como Classe A, categoria que inclui infraestrutura crítica nacional.

A cadeia de falhas de governança é múltipla e documentada. Primeiro, a CSDD havia optado explicitamente por não integrar sua infraestrutura ao serviço de monitoramento do CERT.LV, alegando capacidade própria — o que o próprio CERT.LV reconheceu como decisão que 'impossibilitou a detecção precoce do ponto de vista do Estado'. Segundo, a empresa Tet, contratada por €9 milhões para fornecer e monitorar a infraestrutura de TI do registro nacional de veículos e condutores (contrato assinado em fevereiro de 2022, renovado em 2025), não detectou o ataque nem alertou a CSDD. Foram os próprios especialistas de TI internos da CSDD que identificaram a atividade suspeita. Terceiro, após a contenção, a CSDD levou dois dias para notificar o CERT.LV e quatro dias para informar o público — prazo que o primeiro-ministro e o presidente consideraram inaceitável para um sistema Classe A.

O dado mais sensível do ponto de vista de impacto futuro é o número de identificação pessoal (equivalente ao CPF letão). O CERT.LV alertou explicitamente que esse campo é usado como nome de usuário em serviços de identidade digital como eParaksts e Smart-ID, o que converte a base exfiltrada em insumo direto para fraudes de autenticação. Os dados de contato (telefone e e-mail) não foram comprometidos, segundo o chefe de TI da CSDD — detalhe relevante para calibrar o risco de phishing direcionado.

O contexto político acelerou a resposta institucional de forma incomum. O presidente Rinkēvičs se pronunciou publicamente via rede social exigindo responsabilização, o que produziu efeito direto: Aksenoks, que havia sinalizado que não renunciaria, reverteu a posição no mesmo dia. A investigação interna tem prazo para apresentar resultados ao ministro em setembro de 2026 e inclui avaliação do contrato com a Tet. Não está claro se haverá apuração penal paralela ou notificação formal à autoridade de proteção de dados (Inspeção Estatal de Dados), embora a LSM registre que a CSDD informou 'outras autoridades competentes do Estado', sem detalhar.

O caso não ocorre no vácuo: em junho de 2026, a estatal florestal Latvijas valsts meži (LVM) foi alvo de ransomware por grupo estrangeiro não nomeado, com exfiltração de senhas e dados pessoais de funcionários. Em março de 2026, o Ministério Público Europeu reportou 20 suspeitos — incluindo funcionários públicos — em investigação de fraude em contratos de TI de instituições estatais letãs. A hipótese de ataque de estado estrangeiro levantada pelo primeiro-ministro é coerente com o histórico de ameaças à região báltica (documentado pelo próprio CERT.LV, que identificou presença de APTs vinculados a outros países em cerca de um terço das organizações auditadas), mas permanece sem evidência técnica pública que a vincule especificamente ao caso CSDD.

1,2 milhão de pessoas físicas — equivalente a dois terços da população da Letônia — tiveram expostos: nome completo, número de identificação pessoal, placa do veículo, endereço registrado na data do serviço, data e valor de pagamento, referentes a transações com a CSDD nos últimos 18 anos (desde 2008). Aproximadamente 200 mil entidades jurídicas também tiveram dados comprometidos. Dados de telefone e e-mail não foram exfiltrados. O risco operacional imediato é a utilização dos números de identificação pessoal para fraudes de autenticação em sistemas de identidade digital letões (Smart-ID, eParaksts). A CSDD e seus serviços eletrônicos continuaram operando normalmente após a contenção do ataque. A crise de governança resultou na renúncia coletiva do Conselho Fiscal e do Conselho de Administração da CSDD em 19 de agosto de 2026.