LockBit alega roubo em saúde de Mato Grosso com números divergentes

Há quatro afirmações distintas em jogo, e quase toda a cobertura as embaralha. O que a VÍTIMA admite: a SES-MT confirmou em nota oficial um incidente cibernético identificado em março de 2026, sustentando que a base de dados não foi comprometida, que os dados impactados representam menos de 1 TB do total, que houve recuperação por contingência/redundância/backup e que não houve pagamento de resgate. O que a IMPRENSA de apuração reporta: o PNB Online — fonte primária da investigação, que afirma ter tido acesso à 'árvore de arquivos' criptografados — fala em ~200 TB e mais de 300 mil documentos corrompidos. O que o ATOR alega: um resgate de US$ 500 mil em bitcoin, com projeção de prejuízo de US$ 4 a 7 milhões caso publicasse, e a mensagem de escárnio típica atribuída ao LockBit. O que a EVIDÊNCIA independente demonstra: até o momento, nada conclusivo — não há perícia pública, e a CPI justamente requereu perícia técnica federal para resolver a contradição.

Correção ao nosso próprio registro: atribuímos o número de 200 TB à Revista Oeste, mas a Oeste apenas reproduz a apuração do PNB Online, que é a origem real do dado. Isso importa para a nota Admiralty — o número não tem confirmação independente; tem uma única origem, com veículos regionais e a Oeste ecoando-a. Tratar '200 TB' e '1 TB' como um intervalo confirmado seria erro; são duas alegações não reconciliadas.

O ponto técnico mais delicado do caso é a atribuição ao LockBit, e aqui a evidência contraria a firmeza do nosso selo atual. O LockBit original foi desmantelado pela Operation Cronos em fevereiro de 2024, com apreensão de infraestrutura, código-fonte e chaves de decriptação; sofreu novo golpe reputacional em maio de 2025, quando atacantes desconhecidos desfiguraram painéis remanescentes. O nome 'LockBit' sobrevive hoje como marca fragmentada, passível de uso por afiliados residuais, imitadores ou operadores do builder vazado. Uma reivindicação em 2026 assinada 'LockBit' não deve ser lida como o grupo organizado de 2022-2023. Some-se a isso duas anomalias comportamentais: o suposto ator não publicou o conteúdo mesmo sem receber pagamento — divergindo do modelo de dupla extorsão — e teria exposto apenas a estrutura de diretórios. Isso é compatível tanto com um afiliado de baixo perfil quanto com um cenário em que a 'assinatura LockBit' foi apenas o texto de uma nota de resgate genérica.

Há ainda uma tensão técnica que a SES não resolveu. Ransomware que criptografa arquivos normalmente só é revertido com a chave — ou com backup íntegro. A SES afirma recuperação total por backup, o que é plausível SE havia cópia offline e testada. Mas a cronologia levantada pela apuração é desconfortável: a coordenação de TI teria demorado mais de dois anos para autorizar o avanço do backup solicitado pela MTI em 2024, assentindo só em 13 de fevereiro de 2026 — semanas antes do ataque. Se o backup foi maturado às vésperas do incidente, a alegação de recuperação integral merece comprovação documental, que a secretaria não apresentou quando questionada por mais de um veículo.

Sobre a morte do servidor de TI, é preciso rigor e cautela. A conexão com o ataque partiu de denúncia anônima repassada em entrevista pelo presidente da CPI, sem causa de morte à mão. O laudo da Politec aponta intoxicação, em episódio classificado pela polícia como suicídio, com bilhetes que revelam contexto de depressão e não citam problemas na SES; a Polícia não identificou sinal de crime. A SES afirma que o servidor atuava na Coordenação de Suporte a Usuários, sem função na infraestrutura afetada. Não há base para ligar os dois fatos, e insinuações nessa direção não se sustentam na evidência disponível.

O que dá singularidade ao caso não é o vetor técnico, e sim o alvo documental. Segundo a apuração, entre os arquivos atingidos estavam relatórios, auditorias e planilhas que abastecem a CPI da Saúde, incluindo material ligado a empresas investigadas na Operação Espelho (LGI Médicos, Bone Medicina Especializada, Intensive Care) e ao Hospital Regional de Cáceres, alvo da Operação Panaceia. A coincidência de a destruição atingir justamente o acervo requisitável por uma comissão investigativa recém-instalada é factual e justifica perícia — mas coincidência não é prova de dolo. A perícia da PF, que a CPI aguardava, é o único caminho para separar hipótese de fato.

Contexto estrutural que a evidência sustenta: dos 40 links de comunicação da SES, 27 na 'Infovia' e 13 num contrato Oi/MTI/Seplag que estariam sem suporte e sem licença ativa; e a suspensão de uma licitação da MTI para reforço de cibersegurança, deixando o ambiente estadual em janela de desproteção. Esses são os fatos de gestão que tornam o ataque possível — e são mais robustos, como linha de responsabilização, do que a autoria do malware em si.

Afetada: a SES-MT e, por extensão, o trabalho da CPI da Saúde da ALMT, que investiga contratos de 2019 a

2023. Na prática, documentos administrativos, auditorias e planilhas potencialmente úteis à investigação de irregularidades foram comprometidos, gerando insegurança sobre a integridade e a cadeia de custódia das provas — mesmo que a operação assistencial à população não tenha sido interrompida, segundo a SES. Há possível envolvimento de dados pessoais, o que motivou a comunicação à ANPD. O volume real de dados perdidos e a extensão do prejuízo às investigações permanecem não determinados por perícia. Não há confirmação de publicação do conteúdo dos arquivos na deep web — apenas de estrutura de diretórios e títulos, o que limita, até aqui, o risco direto aos titulares de dados pessoais.