Cohab de Campinas confirma resgate; vazamento segue sem resposta
Cohab Campinas
alegado em · apurado em
A Cohab-Campinas confirmou ataque ao servidor de banco de dados, com pedido de resgate, B.O. e investigação sigilosa da Polícia Civil. Não há ator identificado, volume alegado nem confirmação de exfiltração. A etiqueta "destrutivo" e o detalhe de que os backups foram atingidos vêm de uma única fonte, que não é a vítima.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente é real e a Cohab-Campinas o reconheceu: ataque ao servidor que hospeda o banco de dados, com pedido de resgate. A vítima publicou aviso em seu site e confirmou o resgate à imprensa por nota da Prefeitura. O que desmentiria: nada no material apurado sugere o contrário.
O evento é de indisponibilidade com extorsão. Ainda não é um caso de vazamento demonstrado. Nem a vítima nem nenhuma fonte apurada afirma que dados foram copiados, acessados ou publicados, e nenhum ator reivindicou o caso. O que mudaria o juízo: publicação de amostra em site de vazamento, comunicação da Cohab aos titulares ou manifestação da ANPD.
Que foi ransomware e que os backups também foram atingidos é plausível, mas repousa só em fonte não identificada do CISO Advisor. O comunicado da Cohab, nas versões que lemos, não usa a palavra ransomware e não menciona backups. A recuperação conduzida pela IMA, sem prazo, é compatível com perda de dados, mas não a prova. Seria desmentido por restauração rápida a partir de cópias ou por comunicado oficial que descreva outro tipo de ataque.
A afirmação do Correio Popular de que o ataque teria sido facilitado por falhas no antivírus da companhia é um dado não atribuído e sem corroboração. Serve como pista para a sindicância, não como causa estabelecida.
O ataque de 19/10 não tem vínculo demonstrado com as falhas de PHP que levaram a Prefeitura a bloquear o acesso externo ao SEI em 22/10. A Prefeitura fala em medida preventiva, sem invasão. A cronologia contradiz a hipótese: o ataque à Cohab é três dias anterior ao alerta. Só a imprensa local os juntou, por proximidade.
Análise
O que a vítima admite: a Cohab-Campinas publicou um aviso datado de 19/10/2026 sobre incidente em seu banco de dados que deixou os sistemas inoperantes. Em nota via Departamento de Comunicação da Prefeitura, confirmou que o ataque veio acompanhado de pedido de resgate, que há boletim de ocorrência, investigação sigilosa da Polícia Civil e sindicância interna, e que a IMA, empresa de tecnologia do município, atua na recuperação. O atendimento presencial seguiu funcionando e a operação digital era parcial. A companhia não informou valor do resgate, serviços afetados, prazo de normalização nem se houve acesso, cópia ou vazamento de dados. Os registros públicos não trazem manifestação de regulador (ANPD) sobre o caso.
O que o ator alega: nada. Não encontramos reivindicação, nota de resgate publicada, nome de grupo nem página em site de vazamento. Por isso actor_name fica nulo e não há número alegado para confrontar com um confirmado. A distância entre alegação e confirmação, que costuma ser a informação central, aqui não existe de um dos lados: não sabemos o que o criminoso diz ter, e a vítima não diz o que perdeu.
Correção à nossa análise: o registro traz 28/10 como data do anúncio. Essa é a data da matéria do CISO Advisor, e a própria matéria diz que o ataque foi identificado nove dias antes. O aviso no site da Cohab leva a data de 19/10, e a imprensa local já noticiava o caso em 21/10. Não conseguimos determinar se o comunicado citado pelo CISO Advisor é o mesmo aviso de 19/10 ou uma versão posterior mais longa. O relato de que a Cohab "informou hoje" pode ser imprecisão do veículo ou atualização do texto. A data de divulgação deve ser tratada como 19/10 até prova em contrário.
Segunda correção: o título "ataque destrutivo" e o rótulo de "claimed" não se sustentam como estão. O selo "claimed" é inadequado, porque a vítima confirmou o incidente: o fato está confirmado, e o que falta é a extensão. Quanto a "destrutivo", o único elemento que o justificaria é a afirmação do CISO Advisor de que os backups foram atingidos, atribuída a informações obtidas pelo veículo, sem fonte nomeada. Essa afirmação é verossímil e consistente com a recuperação demorada e com dados inacessíveis por pelo menos quatro dias, mas não está nos comunicados da Cohab que lemos. Tratamos como informação possivelmente verdadeira. A matéria é de um veículo especializado com histórico de apuração, mas o ponto específico não tem segunda fonte.
Quem disse o quê sobre a causa: o Correio Popular escreveu que o ataque "teria sido facilitado" por falhas no antivírus, sem dizer de quem veio a informação. Um nome de ferramenta, uma falha ou um vetor documentado não aparecem em fonte alguma. Não há base para falar em credenciais, RDP, VPN ou vulnerabilidade específica. Também não encontramos análise técnica de pesquisador independente.
Sobre o PHP: a imprensa regional deu destaque simultâneo ao bloqueio do SEI pela Prefeitura em 22/10, decorrente de alerta sobre vulnerabilidades no PHP (a Band cita dois identificadores CVE e o apelido "PHP2Shell"). A Prefeitura diz que não houve invasão ou vazamento por esse motivo. O ataque à Cohab é de 19/10, antes do alerta, e nenhuma fonte o liga ao PHP. Não incluímos esses CVEs no registro porque a conexão com este incidente não tem base. A justaposição serve de aviso sobre como a narrativa pode ser contaminada.
Uma observação sobre a página do CISO Advisor: o título de página que recuperamos traz a frase "Malware usa programas da OpenAI e Anthropic para infectar usuários". Parece chamada de outra matéria do veículo e não faz parte do relato sobre a Cohab. Nada na apuração liga IA a este caso, e ignoramos o trecho.
Resumo do peso das evidências: o fato do ataque e do resgate tem confiança alta. A extensão do dano aos dados, a exfiltração, o tipo de malware e o vetor ficam sem base pública. O silêncio sobre vazamento é informação, mas ambígua: pode refletir ausência de exfiltração, ou apenas que a investigação policial e a sindicância ainda não concluíram. A Cohab guarda cadastro de famílias, contratos de mutuários e cobranças de prestações da casa própria, de modo que uma eventual exfiltração teria dados pessoais de cidadãos como alvo. Isso é inferência sobre o que o banco contém, não evidência de que foi levado.
Cronologia
- 19 out 2026A Cohab-Campinas identifica ataque ao servidor que hospeda seu banco de dados, registra boletim de ocorrência e aciona a Polícia Civil. O aviso "Cohab informa!" no site da companhia leva essa data. Fala em incidente que deixou os sistemas temporariamente inoperantes e orienta a não pagar boletos ou cobranças em nome da Cohab.
- 21 out 2026Veículos locais (Sampi Campinas, Jovem Pan News Campinas) noticiam o ataque com pedido de resgate. A Cohab não informa valor, condições nem se houve cópia de dados.
- 22 out 2026A Prefeitura de Campinas suspende o acesso externo ao SEI por alerta de vulnerabilidades no PHP. A medida é preventiva, e a Prefeitura diz que não houve invasão. Episódio distinto do ataque à Cohab.
- 24 out 2026O Correio Popular publica nota da Prefeitura confirmando o pedido de resgate. Diz que até a tarde do dia anterior todos os dados digitais da Cohab estavam inacessíveis, inclusive o cadastro de famílias à espera da casa própria. Cita, sem atribuir fonte, falhas no antivírus.
- 28 out 2026O CISO Advisor publica a matéria que originou nosso registro. Afirma que a Cohab informou "hoje" o ataque, identificado nove dias antes. Cita fonte própria para ransomware e backups atingidos, e diz que pediu detalhes à Cohab e não recebeu resposta.
Impacto
Os sistemas digitais da Cohab ficaram inoperantes, incluindo o cadastro de famílias à espera da casa própria, que estava inacessível até a tarde de 23/10 segundo o Correio Popular. A emissão de boletos e cobranças foi suspensa, e a companhia orientou os usuários a não pagar boletos ou cobranças em seu nome até novo aviso. Isso afeta mutuários e adquirentes do sistema habitacional municipal e abre espaço para golpes de cobrança falsa. O atendimento presencial seguiu funcionando, e a operação digital era parcial no fim do período. Não há número de pessoas afetadas, nem confirmação de exposição de dados pessoais.
Recomendações
- Mutuários e adquirentes: tratar como suspeito qualquer boleto, mensagem ou ligação em nome da Cohab até a divulgação de novas orientações oficiais. Confirmar a origem apenas por canais publicados no site da companhia.
- Entes públicos e empresas municipais: manter backups offline ou imutáveis, com restauração testada e credenciais de administração de backup segregadas do domínio de produção. Neste caso há relato de backups atingidos.
- Verificar se os controles de endpoint estão ativos, atualizados e protegidos contra desativação em todos os servidores, em especial nos que hospedam bancos de dados. O antivírus foi apontado pela imprensa local, sem fonte, como ponto frágil.
- Para a sindicância e a perícia: preservar logs de autenticação, VPN, RDP e acesso a bancos de dados, bem como os artefatos da nota de resgate, antes de restaurar. Buscar sinais de exfiltração (volume de saída, uso de ferramentas de transferência) para responder à lacuna sobre vazamento.
- Titulares da base de habitação: monitorar uso indevido de CPF e dados cadastrais e desconfiar de contato com informação financeira de contrato habitacional, caso a exfiltração venha a ser confirmada.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Quem reivindicou e se há grupo identificado: resolveria com monitoramento de sites de vazamento, nota de resgate descrita pela Polícia Civil ou pela própria Cohab.
Se houve exfiltração de dados: resolveria com comunicado da Cohab aos titulares, resultado da sindicância ou publicação de amostra pelo ator.
Se a Cohab comunicou o incidente à ANPD e aos titulares, nos termos da LGPD: resolveria com manifestação da ANPD ou comunicado da Cohab. Não encontramos nada público.
Tipo de malware, se houve criptografia e se os backups foram de fato atingidos: resolveria com confirmação oficial ou análise forense publicada. Hoje só há a informação do CISO Advisor.
Vetor de acesso inicial, incluindo o papel do antivírus citado pelo Correio Popular: resolveria com relatório da sindicância ou da perícia da Polícia Civil.
Valor do resgate e se foi pago: a Cohab não informou e a investigação é sigilosa. Só uma divulgação oficial ou do ator resolveria.
Se o comunicado do CISO Advisor é o mesmo aviso de 19/10: resolveria com o histórico de edições da página da Cohab ou resposta da companhia ao veículo.
Se os sistemas já foram totalmente restabelecidos: resolveria com novo comunicado da Cohab ou da IMA.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.