Moldávia admite extração de dados de 750 mil — sem autor conhecido

O registro tratava o caso como alegação ("claimed / unverified") e usava como nome da vítima a manchete do DataBreaches.net. Isso está errado em três pontos. Primeiro, não há alegação de ator: a fonte da informação é a própria vítima, o governo moldavo. Segundo, a data 2026-10-27 é a da confirmação da extração e da republicação, não a do anúncio, que foi em 24 de outubro. Terceiro, o título "Moldova Issues Warning About New Cyberattacks" soa como alerta de ataque iminente. Na prática, o premier fez uma advertência genérica sobre a tendência, embora tentativas adicionais tenham de fato ocorrido em 25 e 27 de outubro. Corrigimos selo para 'confirmed' e veredito para 'real'.

O que a vítima admite: segundo a AGE, dados associados a ~750 mil IDNPs foram extraídos sem autorização, e ~1 milhão de IDNPs foram consultados em tentativas de extração entre 19 e 23 de outubro. Os dados incluem identificação, familiares de primeiro grau, status de segurado, médico de família, benefícios sociais, pensões, deficiência, carteira de motorista, fotos, veículos e empresas. O STISC acrescenta IBAN, dívidas fiscais e histórico de pagamentos no MPay. A AGE ressalva que nem todas as pessoas tiveram todas as categorias expostas. A agência diz ainda que dados de cartões bancários não foram afetados e que não houve alteração indevida nos registros de estado.

A distância relevante não é entre ator e vítima, porque não há ator. É entre os números da própria vítima e entre as versões ao longo do tempo. Primeiro, 11 milhões de requisições, 1 milhão de IDNPs consultados e 750 mil extraídos são três grandezas distintas, e "750 mil" mede identificadores, não "registros" nem pessoas únicas. Segundo, a comunicação mudou: em 24 de outubro a AGE não confirmava extração. Em 27 de outubro, depois de a imprensa romena citar cidadãos que relataram nas redes sociais acessos aos seus dados, passou a confirmá-la. O STISC ainda usa o condicional ("ar fi fost extrase") no texto republicado pela Moldpres. Terceiro, o primeiro comunicado fala em ataque na noite de 22 de outubro, enquanto o posterior fala em 19 a 23.

Sobre o vetor, a explicação técnica da AGE é que os atacantes exploraram vulnerabilidades em serviços acessíveis sem autenticação e depois usaram os dados obtidos para extrair mais. Isso, somado ao padrão 1 milhão consultados / 750 mil extraídos, sugere enumeração a partir de IDNPs. É inferência nossa. Um presidente de comitê da ATIC chegou a dizer que o ataque não poderia ser feito por pessoa sem conhecimento técnico avançado. Isso não contradiz o relato oficial: explorar serviço sem autenticação pode ser simples, mas automatizar 11 milhões de requisições exige algum preparo. Mesmo assim, é opinião de especialista externo, sem acesso aos logs.

Sobre o histórico do EVO: usuários viram acessos aos seus dados atribuídos a pedidos que não fizeram. A AGE explica que isso vem de um serviço que registrava incorretamente a base de tratamento. Se a explicação vale, o log de acessos do cidadão perde valor como sinal de comprometimento. Também implica que havia falha de auditoria do próprio sistema, independente do ataque. A AGE não diz se esse defeito é anterior ao incidente.

O contexto pesa. Em fevereiro de 2026, o DataBreaches.net publicou análise questionando a negativa do governo, em maio de 2025, de que sua rede tivesse sido comprometida (caso Compensatii). Em abril de 2026 houve o incidente na base de saúde CNAM. Uma fonte citada pelo Risky Bulletin menciona que a Agência de Cibersegurança não descartava envolvimento russo naquele caso, mas isso não se transfere a este. Isto mostra um padrão de incidentes em portais e bases do Estado moldavo, não que sejam o mesmo ator ou a mesma falha.

Sobre atores: nenhuma fonte oficial nomeou responsável, e a imprensa registra que as autoridades não disseram quem está por trás. O premier relaciona o tema a ataques híbridos e à capacidade de IA de achar vulnerabilidades. Isso é enquadramento político e tecnológico, não atribuição. Também há a denúncia de Tătaru, ex-STISC, que liga acesso indevido à Comissão Eleitoral antes das eleições de 2025 ao ataque atual. Está em queixa ao Ministério Público, sem comentário das instituições. Fica registrada como alegação não verificada.

Dados de cerca de 750 mil pessoas, segundo estimativa preliminar da AGE, foram extraídos. O pacote reúne identificação civil, vínculos familiares, informações de saúde e social (seguro, médico de família, pensões, deficiência), fotos, veículos, empresas e, segundo o STISC, IBAN, dívidas fiscais e histórico de pagamentos. A AGE descreve o risco principal como fraude e manipulação online: golpistas fingindo ser banco ou órgão público, usando nome e IDNP para ganhar confiança. As autoridades dizem que o IBAN sozinho não permite movimentar a conta e que cartões e registros de estado não foram afetados. Na prática, 82 serviços públicos e mais de 30 sistemas ficaram fora do ar, e alguns seguem desligados até a auditoria. O prejuízo concreto de fraude ainda não foi quantificado por nenhuma fonte.