AFA sofre invasão confirmada após um ano de acesso dorminte
O comprometimento da AFA foi real e reconhecido pela própria entidade, mas a causa-raiz é uma alegação técnica de UMA empresa (Hudson Rock), não um fato confirmado pela vítima nem por regulador: uma infecção de infostealer em máquina de desenvolvedor em setembro de 2025 teria dado acesso administrativo usado quase um ano depois. O gatilho foi reputacional — e-mails falsos contra a seleção argentina após a vitória sobre o Egito. Corrigimos duas datas do nosso registro: o jogo foi em 7 de julho de 2026 (não 8) e o anúncio/reconhecimento público ocorreu entre 9 e 10 de julho (não 11).
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O acesso não autorizado às plataformas da AFA ocorreu e foi reconhecido pela própria entidade; isto é fato, não alegação.
A causa-raiz (infostealer na máquina de um desenvolvedor em 08/09/2025, credenciais salvas no navegador com acesso a phpMyAdmin) é a hipótese mais provável, mas repousa quase inteiramente na análise da Hudson Rock, não confirmada independentemente nem pela AFA.
A atribuição a atores de origem egípcia motivados pela eliminação do Egito é sustentada pela assinatura 'All Egyptian Cyber Warriors' e pelo conteúdo político-esportivo, mas nenhum grupo estabelecido foi verificado; 'Hossam Hassan' é o nome do técnico egípcio, não necessariamente do grupo.
Há exposição real de dados pessoais (e-mails, telefones, funções, senhas com hash e algumas em texto puro) de staff, clubes e imprensa, com amostra publicada em fórum e oferta de venda de acesso a subdomínios.
A investigação do FBI sobre ~US$300 milhões da AFA é um assunto financeiro separado e não relacionado ao incidente cibernético; misturá-los seria erro analítico.
A AFA minimizou o alcance publicamente ('resolvido', 'sistemas com proteção adequada'), o que diverge da gravidade descrita pela pesquisa técnica e pela oferta de dados em fórum.
Análise
Quatro coisas precisam ficar separadas neste caso, porque quase toda a cobertura as embaralha. O que a VÍTIMA admite: a AFA reconheceu 'a possibilidade de acesso não autorizado' a uma conta institucional e disse que os e-mails 'não foram gerados nem autorizados' por sua equipe. Nada mais — a entidade minimizou, afirmou ter 'proteção adequada' e, segundo a Cybernews, um porta-voz chegou a dizer que a situação estava 'resolvida'. Isso é reconhecimento parcial, não confissão de vazamento de banco de dados.
O que o ATOR alega: e-mails assinados por 'All Egyptian Cyber Warriors', com assunto 'SYSTEM HACKED: UNFAIR DECISION', enviados de domínios legítimos da AFA a jornalistas acreditados, acusando o arbitraje de François Letexier e a seleção argentina de roubar a vitória. Fóruns criminosos passaram a oferecer o banco da AFA, com alegações de e-mails, senhas com hash, documentos de identidade, telefones, IPs e fotos de perfil. É importante notar a confusão de nomes no nosso próprio setor: 'Hossam Hassan' — atribuído por alguns veículos como o grupo — é na verdade o nome do técnico da seleção egípcia. A assinatura verificável nos e-mails é 'All Egyptian Cyber Warriors'. Não há grupo estabelecido e conhecido por trás disso; a atribuição é temática, não técnica.
O que a EVIDÊNCIA técnica demonstra: aqui entra a Hudson Rock, e é crucial declarar que praticamente toda a narrativa de causa-raiz vem de uma única empresa. Ela afirma ter localizado, em sua base de infostealers, a infecção de 8 de setembro de 2025 na máquina de um desenvolvedor da AFA, com credenciais administrativas salvas no navegador que davam acesso a painéis phpMyAdmin de subdomínios como afa05-new.afa.org.ar, acreditaciones.afa.com.ar e afasistemas.com.ar. A própria empresa qualifica sua conclusão como 'highly likely' — altamente provável, não confirmado. É uma hipótese forte, tecnicamente coerente e apoiada por logs que a empresa diz possuir, mas não foi validada de forma independente nem confirmada pela AFA. Tratá-la como fato confirmado seria repetir o erro que criticamos nos outros.
Sobre os dados expostos: a Hudson Rock e a imprensa técnica descrevem e-mails internos, telefones, funções de usuário, timestamps de cadastro e senhas de staff, clubes filiados e parceiros de imprensa — com a maioria das senhas em hash, mas algumas em texto puro. A gravidade do texto puro é real: expõe os afetados a credential stuffing, sobretudo porque a mesma pesquisa aponta reuso de senhas fracas em vários sistemas internos. Ainda assim, o número de registros permanece indeterminado: nem o ator publicou um total verificável, nem a vítima admitiu qualquer volume. A distância entre 'ator alega ter tudo' e 'vítima admite quase nada' é, ela mesma, a informação.
Duas correções ao nosso próprio registro. Primeira: o jogo Argentina 3-2 Egito foi em 7 de julho de 2026 (terça-feira), confirmado pela FIFA e por toda a imprensa esportiva — nosso material derivado das fontes CTI sugeria 8 de julho. Segunda: o reconhecimento público da AFA e a cobertura inicial são de 9 e 10 de julho; a data de 11 de julho no registro reflete a consolidação da cobertura, não o anúncio original. Mantemos o selo de incidente real, porque o acesso não autorizado foi admitido pela própria vítima — mas rebaixamos a confiança na causa-raiz de 'confirmada' para 'provável', já que ela depende de fonte única.
Um alerta contra contaminação narrativa: no mesmo período, a AFA está sob investigação preliminar do FBI e do DOJ por cerca de US$300 milhões movimentados via a TourProdEnter LLC, da Flórida, com suspeitas de lavagem e fraude bancária. Isso é um caso financeiro completamente separado do ciberataque, como as próprias reportagens deixam claro. Vários agregadores — especialmente de nicho cripto — costuram os dois assuntos e insinuam risco a 'plataformas conectadas'. Não há evidência disso. São dois problemas distintos da mesma entidade no mesmo mês, e juntá-los é análise preguiçosa.
Contexto argentino relevante: o país vinha de uma onda de incidentes ligados a infostealers e vazamentos de bases (AFIP, RENAPER, Seguridad Vial) ao longo de 2024-2025, e a AAIP abriu em dezembro de 2025 uma investigação de ofício sobre uma filtração massiva de dados de argentinos. Não encontramos vínculo público explícito entre essa investigação da AAIP e a AFA; registramos como contexto, não como nexo causal.
Cronologia
- 08 set 2025Hudson Rock data a infecção do infostealer na máquina de um desenvolvedor da AFA com quase uma década de casa.
- 09 set 2025A máquina comprometida entra na base de vítimas de infostealer da Hudson Rock no dia seguinte.
- 19 dez 2025A AAIP (autoridade argentina de proteção de dados) abre investigação de ofício sobre uma presunta filtração massiva de dados de argentinos — contexto separado, não vinculado explicitamente à AFA.
- 07 jul 2026Argentina vence o Egito por 3-2 nos oitavos de final da Copa, em Atlanta, em jogo polêmico com gol anulado no VAR.
- 08 jul 2026Reportagens (UPI, La Nación, CNN Brasil) noticiam investigação preliminar do FBI/DOJ sobre finanças da AFA nos EUA — assunto distinto do ciberataque.
- 09 jul 2026A AFA reconhece o ciberataque após a difusão de e-mails contra o arbitraje; fontes internas atribuem a hackers egípcios com acesso a e-mails, senhas e IPs.
- 10 jul 2026A AFA emite comunicado oficial dizendo que os e-mails não foram gerados nem autorizados e que investiga o acesso não autorizado.
- 11 jul 2026Cobertura consolida o caso; nosso registro data a alegação nesta data, embora o reconhecimento público seja de 9-10 de julho.
- 12 jul 2026Hudson Rock publica a análise de causa-raiz apontando o infostealer; imprensa técnica (The Register, SC Media) replica nos dias seguintes.
Dados envolvidos
Impacto
Afetados diretos: funcionários da AFA, clubes filiados e parceiros de imprensa (incluindo redes esportivas internacionais e jornais locais) cujos e-mails, telefones, funções e senhas apareceram na amostra descrita pela pesquisa técnica. O impacto operacional imediato foi a derrubada de subdomínios (afa05-new.afa.org.ar e acreditaciones.afa.com.ar ficaram fora do ar) e o envio massivo de e-mails fraudulentos a partir de domínios legítimos, com dano reputacional amplificado por viralização em redes sociais. O risco concreto e persistente para os indivíduos é credential stuffing e phishing direcionado, agravado pela presença de senhas em texto puro e pelo reuso de senhas fracas relatado. Não há, até o momento, confirmação de perda financeira, nem número verificável de registros comprometidos, nem admissão pela AFA de vazamento de banco de dados — apenas do acesso não autorizado à conta de e-mail.
Elos técnicos
Recomendações
- Forçar reset de senha de todo staff, clubes e parceiros presentes nas bases dos subdomínios afetados (afasistemas, acreditaciones, afa05-new), tratando todas as credenciais como comprometidas independentemente de estarem em hash.
- Revogar e rotacionar todas as credenciais administrativas de banco (phpMyAdmin) e retirar painéis de administração de banco da exposição pública na internet, colocando-os atrás de VPN ou acesso restrito por IP.
- Bloquear salvamento de credenciais corporativas em navegadores via política de endpoint e implantar EDR nas máquinas de desenvolvedores e administradores, dado que o vetor apontado é infostealer em endpoint.
- Habilitar MFA resistente a phishing em todos os painéis administrativos, portais de mídia e sistemas de gestão de competição, já que credenciais isoladas foram suficientes para o acesso.
- Implementar SPF, DKIM e DMARC em política de rejeição nos domínios da AFA para impedir novo envio de e-mails autenticados a partir de contas comprometidas.
- Monitorar fóruns e mercados por republicação da amostra e por ofertas de acesso a subdomínios da AFA, e caçar indicadores de infostealer (logs vendidos) associados a domínios afa.org.ar e afa.com.ar.
- Notificar formalmente a AAIP e os titulares afetados, e revisar retenção de senhas em texto puro — sua mera existência no banco é falha de arquitetura a corrigir.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Número de registros comprometidos: nenhum total foi publicado pelo ator nem admitido pela vítima; resolveria isto a AFA divulgar o escopo apurado por sua auditoria interna ou o ator publicar amostra com contagem verificável.
Confirmação independente da causa-raiz: a hipótese do infostealer vem só da Hudson Rock; resolveria isto uma análise forense de segunda fonte ou um comunicado técnico da AFA confirmando o vetor.
Identidade real do ator: 'All Egyptian Cyber Warriors' não é um grupo estabelecido e conhecido; resolveria isto rastreamento do handle no fórum, histórico de operações ou atribuição por CERT/pesquisador independente.
Manifestação da AAIP sobre a AFA especificamente: a investigação de ofício de dezembro é sobre outra filtração; resolveria isto uma notificação formal da AFA à AAIP ou uma resolução da agência citando a entidade.
Notificação regulatória: não há evidência de que a AFA tenha notificado a AAIP nos termos da Lei 25.326; resolveria isto o registro público de notificação ou requerimento da agência.
Destino dos dados oferecidos em fórum: se houve venda efetiva do acesso a subdomínios e quem comprou permanece desconhecido; resolveria isto monitoramento do anúncio e de eventuais republicações.
Hash das senhas: o algoritmo usado (e, portanto, a facilidade de quebra das senhas em hash) não foi apurado; resolveria isto análise técnica da amostra.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.