Rosstat admite ataque destrutivo; 23 TB roubados seguem sem prova
Rosstat (Serviço Federal de Estatísticas da Rússia)
alegado el · verificado el
O Rosstat confirmou ataques destrutivos entre 29/10 e 1/11/2026, e a pichação dos portais federal e regionais foi vista por jornalistas. A exfiltração de 10–23 TB, o controle de 25 mil máquinas e a destruição dos sistemas internos são só alegação dos grupos. O Rosstat nega comprometimento de bancos de dados, e nenhum dos dois lados apresentou prova verificável até agora.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O Rosstat sofreu ataques deliberados entre 29/10 e 1/11/2026, que derrubaram o site principal e pichar portais federal e regionais com mensagem em bielorrusso e logotipos dos dois grupos. O próprio órgão os classificou como 'ataques cibernéticos destrutivos direcionados'. Seria desmentido apenas se o comunicado fosse retirado ou se a pichação se mostrasse montagem, e nada indica isso.
A Cyber Partisans BY e a Silent Crow são, no mínimo, os atores que reivindicam. A pichação com logotipos prova acesso ao canal de publicação do site, não à rede interna. A autoria da intrusão profunda repousa na palavra dos grupos e no histórico conjunto (Aeroflot, julho de 2025). Seria desmentida se outro ator reivindicasse com evidência técnica melhor.
A exfiltração de 10–23 TB não está demonstrada. Os próprios grupos divergem (mais de 10 TB pela Cyber Partisans, cerca de 23 TB pela Silent Crow), nenhuma amostra verificada por terceiros apareceu nas fontes que li, e o Rosstat nega vazamento. A confirmação viria de amostras autenticadas por jornalistas ou pesquisadores, ou de reconhecimento do órgão.
A alegação de controle de 25 mil computadores e de destruição de sistemas nomeados (STATEK, 'Demografia', documento eletrônico, VPN, virtualização) é plausível em ordem de grandeza para uma rede federal com unidades regionais. Ainda assim, só o texto dos grupos a sustenta. O Rosstat admite ataques 'destrutivos', mas não diz o que foi destruído. Falta indisponibilidade de serviços além do site, ou lista de sistemas afetados, para confirmar ou refutar.
A negativa do Rosstat é fraca como prova. 'Não identificou' comprometimento é uma afirmação sobre o que o órgão detectou, não sobre o que ocorreu. Ela convive com a pichação de portais federal e regionais, que contradiz a tese de que a infraestrutura 'operou normalmente'. No caso Rosreestr (jan/2025, também da Silent Crow), o órgão negou o vazamento e jornalistas depois verificaram parte do material publicado.
A manchete de que os hackers obtiveram 'as perdas reais' do Exército russo não tem sustentação nas fontes. O que apareceu no site foram estatísticas oficiais ucranianas sobre perdas russas, ou seja, conteúdo inserido pelos grupos, não dado roubado. Que o Rosstat guarde dados de baixas militares é inferência. O que está documentado é que suspendeu a divulgação de causas de morte em 2024. Seria desmentida por amostras autenticadas.
Análisis
O que é fato. O Rosstat confirmou, em comunicado reproduzido por Interfax e RIA, que entre 29 de outubro e 1º de novembro de 2026 sofreu 'ataques destrutivos direcionados'. Disse que o monitoramento alertou a tempo e que não identificou comprometimento de bancos de dados nem vazamento de informação protegida por lei. O Kommersant, citado por Svoboda, Fontanka e outros, relatou mensagens em bielorrusso ('Ninguém escapará da responsabilidade') e logotipos de Cyber Partisans BY e Silent Crow nas páginas federais e regionais. Há reportagens divergentes sobre o site: algumas dizem que voltou ao ar pela manhã, outras que seguiu indisponível quando o RBC o consultou. O Rosstat afirma que a restauração é questão de tempo.
O que os grupos alegam. A Silent Crow diz ter controlado cerca de 25 mil computadores na sede, nas unidades regionais e no Centro Interregional de Processamento e Divulgação de Informação Estatística, e ter exfiltrado cerca de 23 TB. A Cyber Partisans fala em mais de 10 TB. Segundo o Lb.ua, cerca de 2 TB seriam de documentos 'para uso oficial'. Também listam sistemas supostamente destruídos (STATEK, TsSOD, 'Demografia', SED, 'Statregister' e outros) e dizem que entraram na rede cerca de seis meses antes, com quatro meses de extração. Esse último detalhe vem de um agregador (Mallory) que resume o relato dos grupos, e não encontrei o texto original. A diferença entre 10 e 23 TB, ambos números dos próprios atores, já é informação: nem os autores concordam sobre o volume. Nenhum dos números é de registros, então claimed_records fica nulo.
Onde as versões divergem. O Rosstat admite ataque 'destrutivo' e nega comprometimento de bancos de dados. Os grupos afirmam ter destruído esses bancos e levado 23 TB. As duas versões não podem estar corretas, e as fontes que li não trazem prova que decida. A negativa merece ceticismo metodológico: o texto diz que nada foi 'identificado', e o órgão tem incentivo óbvio para minimizar. Os grupos, por sua vez, têm incentivo para inflar: a narrativa de perdas militares russas serve à sua causa, e os números em TB não foram acompanhados de amostra checada. O Rambler, veículo russo, também destacou a ausência de provas. Eu atribuo a essa crítica o peso de uma observação factual, não de uma refutação.
Precedentes. A Silent Crow reivindicou em janeiro de 2025 um banco de 2 bilhões de registros do Rosreestr. O órgão negou o vazamento, mas jornalistas verificaram parte do material publicado (The Moscow Times). O caso Aeroflot (julho de
2025) é diferente: teve efeito operacional visível e confirmado, com mais de 100 voos cancelados. No Rosstat, até agora, o único efeito externo observável é o site, o que torna a alegação de destruição ampla menos corroborada que a do Aeroflot.
O conteúdo 'de perdas'. Parte da cobertura ucraniana fala em dados 'reais' sobre perdas russas obtidos do Rosstat. O UNN descreve que o que os grupos publicaram no site foram estatísticas oficiais ucranianas, ou seja, conteúdo colocado por eles e não extraído do órgão. O Moscow Times e o Tom's Hardware lembram que o Rosstat parou de publicar estatísticas de causas de morte em
2024. Esse contexto torna a alegação interessante, mas não prova que o órgão guarde, ou que os grupos tenham levado, esse tipo de dado.
Correção ao registro. O registro traz como 'organização' uma manchete e a data 2026-11-02. A reivindicação e o comunicado do Rosstat são de 1º de novembro de 2026, e a vítima é o Rosstat. O selo 'claimed' estava defasado: a vítima confirmou o ataque, então o selo correto é 'confirmed' para o FATO do ataque. O veredito permanece 'unverified', porque a natureza da alegação (exfiltração e destruição em massa) não foi verificada. Os dois eixos são independentes e aqui divergem. Também ressalvo um ponto: a versão em inglês do Moscow Times menciona que promotores russos confirmaram o ataque e abriram processo criminal, mas a versão em russo do mesmo veículo liga essa frase ao caso Aeroflot de
2025. Não encontrei confirmação de processo criminal específico para o Rosstat. O comunicado do órgão fala apenas em apurar com 'órgãos de segurança'.
Atribuição e classificação. Ambos os grupos são classificados como extremistas na Rússia e a menção a isso aparece em toda a cobertura russa. Isso afeta o enquadramento (a imprensa russa os trata como organizações proibidas), mas não muda a avaliação técnica. Data types ficam vazios no campo estruturado porque nada foi verificado. Os tipos que os grupos alegam (documentos internos, bases estatísticas e econômicas, dados de censo, informação pessoal e arquivos de estações de trabalho de funcionários) estão descritos acima como alegação.
Cronología
- 28 jul 2025Silent Crow, em cooperação com a Cyber Partisans BY, reivindica a destruição de cerca de 7 mil servidores da Aeroflot (alegação dos grupos). O ataque causou o cancelamento de mais de 100 voos, e o precedente é usado pela imprensa como referência de capacidade.
- 29 oct 2026Início dos ataques às informações do Rosstat, segundo o próprio órgão.
- 31 oct 2026Na noite de 31/10 para 1/11, segundo os grupos (relato compilado por agregador), começa a fase de destruição dos sistemas. É alegação, sem confirmação independente.
- 01 nov 2026O Kommersant reporta a pichação do site federal e dos regionais, com mensagem em bielorrusso e logotipos dos grupos. O Rosstat divulga comunicado confirmando 'ataques destrutivos direcionados' de 29/10 a 1/11, sem comprometimento de bancos de dados ou vazamento de informação protegida. Silent Crow e Cyber Partisans reivindicam 23 TB (ou mais de 10 TB) e 25 mil máquinas. O site principal permanece fora do ar.
Impacto
Impacto confirmado: indisponibilidade do site oficial do Rosstat (portal federal e páginas regionais), pichação visível e uma investigação interna em curso com forças de segurança, segundo o próprio órgão. O Rosstat produz e divulga estatísticas oficiais de população, economia e condições sociais, então a indisponibilidade afeta consumidores desses dados, mas não encontrei relato de interrupção de publicações oficiais além do site. Impacto alegado e não verificado: perda de sistemas internos, vazamento de dados internos, de censo e de funcionários, e acesso a máquinas em escritórios regionais. Sem fonte independente, não há como dizer quantas pessoas foram afetadas.
Enlaces técnicos
Recomendaciones
- Segregue o CMS e a infraestrutura de publicação do site da rede interna. Pichação de portais federal e regionais indica um canal de publicação compartilhado: revise credenciais de administração, contas de serviço e trilhas de deploy, e exija MFA nelas.
- Faça backup imutável e offline dos hypervisors, do ambiente de virtualização e dos sistemas de documento eletrônico, e teste a restauração completa. As alegações envolvem destruição de virtualização, VPN e estações.
- Monitore em hypervisors e storage exclusões em massa, snapshots removidos e mudanças em console de gerenciamento fora de janela. Alerte sobre contas privilegiadas autenticando por VPN em horários atípicos.
- Se o ambiente é semelhante (órgão com unidades regionais e centro de processamento central), busque presença prolongada: contas de VPN e de serviço criadas ou reativadas, regras de e-mail, tarefas agendadas e ferramentas de acesso remoto dos últimos 6–12 meses, já que o tempo de permanência alegado é longo.
- Limite a exposição de 'documentos para uso oficial' e dados de funcionários em estações de trabalho: DLP em endpoints, restrição de sincronização e acessos por privilégio mínimo, para reduzir o que uma máquina comprometida entrega.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Não há amostra dos dados alegados verificada por terceiros. Resolveria: autenticação independente por jornalistas ou pesquisadores, ou publicação de amostras com metadados checáveis.
Não se sabe o vetor de acesso inicial nem se a intrusão profunda existiu. Resolveria: relatório técnico do Rosstat ou de um CERT, ou análise forense publicada.
O volume real exfiltrado é desconhecido (10 TB, 23 TB ou outro). Resolveria: lista de arquivos verificada ou reconhecimento do órgão.
Não se sabe quais sistemas o Rosstat classifica como alvo de 'ataque destrutivo'. Resolveria: detalhamento do órgão ou do regulador russo sobre sistemas afetados e tempo de recuperação.
Não há confirmação de processo criminal específico para o Rosstat. Resolveria: comunicado da Procuradoria-Geral ou do Comitê de Investigação citando o caso.
Não localizei o texto original dos grupos; as alegações vêm via imprensa e agregadores. Resolveria: acesso ao post original, que não foi possível nesta pesquisa.
Não está claro se a data de 'seis meses de acesso prévio' reflete evidência ou retórica. Resolveria: artefatos técnicos (logs, contas) que mostrem a presença antiga.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.