Credenciais expostas, PJe fora por dez dias: o ataque que parou a Justiça de MT
Tribunal de Justiça de Mato Grosso (TJMT)
alegado el · verificado el
O TJMT confirmou, em comunicados oficiais sucessivos, que invasores exploraram uma vulnerabilidade aberta por um modelo de documento inserido indevidamente em 20/09/2026, comprometeram credenciais de rede (logins e senhas criptografadas) e derrubaram o PJe e demais sistemas por dez dias — a maior paralisação do Judiciário estadual de que se tem registro. Investigação criminal conduzida por PF e Polícia Civil ainda apura extensão do dano, autoria e possível conexão com ataques ao TJBA e ao Senado Federal.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O TJMT confirmou formalmente que credenciais de rede foram acessadas, o que constitui comprometimento de dado pessoal nos termos da LGPD e deveria ter disparado notificação à ANPD em até 72 horas. Nenhuma fonte identificou tal notificação até o fechamento deste relatório.
A narrativa do vetor — inserção de modelo de documento que 'abriu vulnerabilidade estrutural' — é consistente entre múltiplas fontes que a atribuem à própria CTI do Tribunal, mas permanece em nível de apuração preliminar; nenhum documento técnico primário foi publicado e o mecanismo exato (parsing malicioso, injeção em template engine, escalonamento de privilégio) não foi especificado pelo TJMT.
A hipótese de autoria compartilhada com os ataques ao TJBA (18/09/2026) e ao Senado Federal (março de 2026) é uma linha de investigação da PF, não uma conclusão: nenhuma autoridade confirmou identidade ou TTPs comuns entre os casos até o momento.
A magnitude operacional foi severa e verificada por portarias oficiais: dez dias de paralisação do PJe (21/09 a 30/09), suspensão de prazos processuais em 1.º e 2.º graus, cancelamento de audiências e sessões, retomada administrativa somente em 01/10/2026 via Portaria TJMT/PRES nº 1.384.
A afirmação de 'ausência de vazamento de dados pessoais' é uma declaração de ausência de evidência na data dos comunicados, não uma conclusão forense encerrada; com credenciais de rede comprometidas, o risco residual de uso futuro das senhas criptografadas — se quebradas offline — permanece real enquanto a redefinição não for totalmente concluída e auditada.
A investigação apura participação de servidores do TJMT ou funcionários da empresa terceirizada de TI, o que abre a hipótese de insider (intencional ou acidental) como origem da inserção do documento — dimensão que a narrativa pública tem subestimado.
Análisis
O incidente do TJMT é o maior registro de paralisação do Judiciário mato-grossense por causa cibernética — dez dias com o PJe fora do ar, prazos suspensos e audiências canceladas em toda a estrutura de 1.º e 2.º graus. A confirmação veio em etapas: primeiro como 'manutenção emergencial' (manhã de 21/09), depois como 'incidente de segurança' (tarde do mesmo dia) e, por fim, com a admissão de que credenciais foram comprometidas (23/09). Esse escalonamento progressivo de transparência é um padrão documentado em tribunais brasileiros após ataques e pode dificultar a análise de quem tenta reconstruir a sequência forense.
O vetor divulgado pela CTI do próprio Tribunal — inserção indevida de modelo de documento na tarde de domingo (20/09) que 'abriu vulnerabilidade estrutural' — é tecnicamente plausível e consistente com vetores conhecidos (parsing malicioso de OOXML, injeção em template engine de sistema de gestão documental, ou macro com execução de código). Porém, nenhum documento primário do Tribunal especificou o mecanismo. Essa lacuna é relevante: sem saber o tipo exato de vulnerabilidade, é impossível mapear se outros sistemas judiciais com infraestrutura similar estão expostos ao mesmo vetor. A IBSEC e o CISO Advisor, veículos especializados que cobriram o caso, também não avançaram além do nível descritivo.
A confirmação mais concreta do TJMT sobre o dano é objetiva: credenciais de rede — logins e senhas criptografadas — foram acessadas. Isso é comprometimento de dado pessoal nos termos da LGPD (Lei 13.709/2018, art. 46 e ss.), e a regulamentação exige notificação à ANPD em prazo razoável quando há risco ou dano relevante aos titulares. A IBSEC referenciou o prazo de 72 horas como referência. Até o fechamento deste relatório, nenhuma fonte confirmou que tal notificação foi feita, o que abre uma lacuna de conformidade regulatória além da lacuna técnica.
A investigação criminal é dupla e bem delimitada pelas fontes oficiais: PF cuida dos ambientes com integração ao CNJ (que têm alcance federal); Polícia Civil, via DRCI, cuida dos diretórios internos do Tribunal. Uma linha paralela investiga a possível participação de servidor interno ou funcionário de empresa terceirizada de TI como agente da inserção do documento — o que amplia o quadro de risco além do ataque externo puro. Essa hipótese foi confirmada por fontes que citam o TJMT como origem (Folha do Estado, CenárioMT), mas permanece aberta.
O contexto regional amplia a relevância do caso: três dias antes do ataque ao TJMT, o TJBA foi alvo de uma intrusão que resultou no desvio de R$ 43 milhões em depósitos judiciais via plataforma BRBJUS do BRB. Em março de 2026, o Senado Federal sofreu quebra de segurança com o mesmo padrão operacional de resposta (redefinição de senhas). A PF investiga se um mesmo grupo está por trás dos três episódios. Essa hipótese, tratada como linha de investigação por múltiplas fontes independentes, ainda não foi confirmada por nenhuma autoridade — e o tribunal baiano afirma que seus sistemas internos não foram atingidos, o que diferencia estruturalmente os dois casos.
A resposta operacional do TJMT foi documentada pelas portarias: a Portaria nº 1.370 (25/09) formalizou a retomada parcial; a nº 1.384 (30/09) encerrou a suspensão administrativa. O DCON registrou 66 eventos de instabilidade no PJe entre 28 e 30/09 antes de atingir 100% de disponibilidade. A cobertura do CNJ ao Programa Justiça [+Segura], que visitou o TJMT em maio de 2026, quatro meses antes do incidente, é um dado de contexto relevante: o programa existia, a visita ocorreu, e o ataque ainda assim aconteceu — o que sugere que a avaliação de maturidade e a implementação de controles não convergiram a tempo.
Cronología
- 26 may 2026CNJ visita o TJMT e apresenta o Programa Justiça [+Segura] de cibersegurança — quatro meses antes do ataque, sem que os controles fossem suficientes para preveni-lo.
- 18 sep 2026Ataque cibernético atinge o Tribunal de Justiça da Bahia (TJBA), com desvio de R$ 43 milhões em depósitos judiciais via plataforma BRBJUS do BRB — episódio que a PF depois examinará como possível precursor do ataque ao TJMT.
- 20 sep 2026Na tarde de domingo, a CTI do TJMT identifica posteriormente que houve inserção indevida de um modelo de documento no sistema — evento que, segundo apuração preliminar da própria CTI, abriu a vulnerabilidade estrutural explorada no dia seguinte.
- 21 sep 2026O TJMT detecta o incidente, retira preventivamente o PJe e sistemas institucionais do ar. Portaria TJMT/PRES (manhã) cita 'manutenção emergencial'; nota posterior do mesmo dia confirma 'incidente de segurança'. Expediente e prazos suspensos em 1.º e 2.º graus por determinação do desembargador-presidente José Zuquim Nogueira.
- 22 sep 2026Suspensão de expediente e prazos prorrogada para terça-feira. TJMT adota regime de contingência com plantão judiciário em papel para demandas urgentes.
- 23 sep 2026Em nota publicada nas redes sociais, o TJMT confirma pela primeira vez que credenciais de rede — logins e senhas criptografadas — foram acessadas pelos invasores. Informa que não há evidências de acesso a dados pessoais adicionais, decisões judiciais ou backups. Todas as senhas estão sendo redefinidas (cerca de 6 mil, conforme fontes de imprensa).
- 24 sep 2026O presidente do TJMT aciona formalmente a Polícia Federal e a Polícia Civil. PF assume a investigação dos ambientes com integração ao CNJ; Polícia Civil, via DRCI, apura a rede interna do Tribunal. PJe segue fora do ar.
- 25 sep 2026Portaria TJMT/PRES nº 1.370 determina retomada do atendimento externo a partir de 28/09, mas mantém prazos processuais suspensos até 30/09. Prazos administrativos permanecem suspensos até nova deliberação.
- 26 sep 2026Convergência Digital e Fenati reportam que a PF investiga se o ataque ao TJMT é obra do mesmo grupo responsável pelo ataque ao TJBA (18/09) e ao Senado Federal (março de 2026). Hipótese tratada como linha de investigação, não confirmada.
- 28 sep 2026Retomada parcial: PJe volta a funcionar (acesso direto pelos endereços do sistema, sem passar pelo portal principal). Atendimento ao público externo normalizado. Prazos processuais ainda suspensos.
- 30 sep 2026Relatório do DCON registra 66 eventos de indisponibilidade no PJe entre 28 e 30/09 — todos solucionados. Sistema atinge 100% de disponibilidade externa ao fim do dia.
- 01 oct 2026Portaria TJMT/PRES nº 1.384 determina retomada do atendimento administrativo e dos prazos processuais. Redução do índice de risco cibernético e queda na demanda por suporte técnico registradas pelo TJMT.
Datos involucrados
Impacto
Dez dias de paralisação do PJe em 1.º e 2.º graus afetaram diretamente advogados, partes, magistrados e servidores em todo o Estado de Mato Grosso. Audiências e sessões de julgamento foram canceladas e deverão ser redesignadas. Prazos processuais físicos e eletrônicos ficaram suspensos de 21/09 a 30/09 (com exceção dos processos de execução penal no SEEU). Credenciais de rede de usuários — logins e senhas criptografadas — foram confirmadamente acessadas; o TJMT realizou a redefinição de aproximadamente 6 mil senhas como medida de contenção. Ambientes integrados ao CNJ foram atingidos, o que justificou a atuação federal da PF. A retomada gradual (PJe em 28/09, expediente administrativo em 01/10) gerou 66 eventos de instabilidade residual antes da estabilização. Não há registro confirmado de desvio financeiro ou sequestro de dados no caso do TJMT — diferentemente do TJBA, onde R$ 43 milhões em depósitos judiciais foram desviados via BRB.
Enlaces técnicos
Recomendaciones
- Auditar e restringir permissões de upload em sistemas de gestão documental: apenas usuários e perfis com necessidade comprovada devem poder inserir templates ou modelos; o evento de inserção deve gerar alerta em SIEM em tempo real.
- Implementar análise estática e em sandbox de todos os arquivos de template antes de processamento pelo sistema — independentemente da origem (interno ou externo): documentos OOXML, ODT e similares podem conter macros, vínculos externos e payloads que ativam durante o parsing.
- Com cerca de 6 mil credenciais comprometidas, validar que a redefinição foi concluída para 100% dos usuários ativos e que as senhas antigas foram invalidadas em todos os sistemas integrados, incluindo ambientes CNJ.
- Revisar a segmentação de rede entre o sistema de gestão documental e a infraestrutura crítica (PJe, bases de dados de credenciais): uma vulnerabilidade em módulo de upload não deveria propagar-se lateralmente até comprometer autenticação de rede.
- Verificar a obrigação de notificação à ANPD: credenciais de rede de servidores e magistrados constituem dado pessoal; a LGPD e a Resolução CD/ANPD nº 2/2022 estabelecem critérios de notificação que devem ser avaliados com assessoria jurídica especializada.
- Rever o contrato e os controles de acesso da empresa terceirizada de TI: a investigação apura possível participação de funcionários terceirizados — o que exige revisão do modelo de confiança, dos privilégios concedidos e dos logs de atividade desse grupo.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Mecanismo técnico exato da vulnerabilidade aberta pelo modelo de documento não foi publicado pelo TJMT nem por pesquisadores independentes — um relatório técnico público do Tribunal ou análise forense de terceiros resolveria esta lacuna.
Identidade ou atribuição do ator (externo, insider, ou combinação) permanece aberta — a conclusão das investigações da PF e da DRCI/Polícia Civil resolveria.
Notificação à ANPD: não há confirmação pública de que a notificação exigida pela LGPD foi feita — resposta oficial do Tribunal ou da ANPD resolveria.
Conexão com ataques ao TJBA (18/09) e ao Senado Federal (março/2026) é hipótese de investigação, não conclusão — relatório final da PF ou indiciamento resolveria.
Participação de servidor interno ou funcionário de empresa terceirizada de TI na inserção do documento é linha investigada — conclusão do inquérito resolveria.
Extensão real do acesso às credenciais: o Tribunal afirma não haver evidências de acesso além de logins e senhas criptografadas, mas isso reflete o estado da investigação na data dos comunicados, não uma conclusão forense — laudo pericial completo resolveria.
Status da conformidade com a LGPD e eventual instauração de processo administrativo pela ANPD não foram confirmados — manifestação da ANPD resolveria.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.