BAE nega roubo de dados em tribunais; causa segue oculta

O que está estabelecido. O Judiciário federal americano publicou em 15/10 que a TI e os sites da BAE que sustentam o Bankruptcy Noticing Center foram afetados por um incidente de cibersegurança e que a produção e a distribuição de notificações de falência estavam paradas. Os tribunais locais registram que a BAE avisou a Administrative Office no fim de 9/10. O BNC voltou em 26/10 e a Administrative Office confirmou a resolução em 27/10, com base no que a BAE lhe informou. São documentos oficiais de duas partes que não são o ator, e a convergência entre eles é boa. O fato de que o incidente existiu e de que parou o noticiamento nacional é sólido.

O que a BAE afirma e o que não afirma. Em 16/10, a BAE disse apenas que se tratava de um incidente de segurança isolado ao BNC. Em torno de 29/10, disse que nenhum outro sistema foi afetado, que nenhum dado foi extraído e que não houve violação de PII. Segundo a SecurityWeek, a empresa continua sem dizer a causa nem se foi ataque. A afirmação de ausência de exfiltração é categórica e vem sem método: não sabemos se se apoia em logs de egress, em forense de terceiros ou em ausência de indícios. Também não sabemos quando a conclusão foi alcançada. Quando o incidente veio a público, nem BAE nem Judiciário falaram sobre dados. A negação só apareceu depois da restauração, o que é uma sequência comum e não é prova de nada, mas pede cautela.

O que ninguém afirma. Nenhum grupo reivindicou o incidente, segundo a The Record e outras fontes. Isso elimina a divergência entre alegação do ator e confirmação da vítima que normalmente organiza este tipo de análise: aqui não há número alegado, e os campos de registros ficam em branco. A distância informativa está em outro lugar, entre a certeza do impacto operacional e a incerteza sobre o conteúdo e o vetor. Tampouco encontrei manifestação de regulador, filing ou nota de CISA, FBI ou outra autoridade sobre o caso. Não é prova de que não exista, é limite desta pesquisa.

Contradição e terminologia. As manchetes dizem 'cyberattack' desde o primeiro dia. As fontes primárias dizem 'cybersecurity incident' e 'security incident'. A diferença importa: o Judiciário nunca descreveu um ataque externo, e a BAE continua sem confirmá-lo. É provável que tenha sido hostil, dado o tempo de recuperação, o isolamento dos sites e a declaração de emergência, mas isso é inferência nossa e não fato divulgado. A The Record também escreve que o ataque foi 'anunciado em 22 de outubro'. Segundo os documentos oficiais, o anúncio público foi em 15/10, e 22/10 foi a declaração da emergência pelo Judicial Conference. Os próprios tribunais divergem entre 22 e 23/10 para esta declaração, e não resolvi a divergência.

Correção do nosso registro. O registro tinha a manchete da The Record no lugar do nome da vítima, selo 'claimed' e veredito 'unverified', e data 29/10. A vítima é o BNC, operado pela BAE Systems, Inc. (subsidiária americana) para a Administrative Office. O selo correto é 'confirmed' (o incidente foi confirmado pelo Judiciário). O veredito 'real' se aplica ao incidente, não à exfiltração, que segue não verificada. A data do incidente é cerca de 9/10, não 29/10, que é a data da negação da BAE.

O que o dano demonstrado é. A parte mensurável é operacional: cerca de 17 dias sem notificações eletrônicas ou em papel, um backlog que começa em 7/10 e que os tribunais esperam terminar por volta de 31/10 (conforme um aviso do N.D. Indiana), e uma emergência da Regra 9038 válida até 7/1/2027. Os tribunais continuaram a aceitar petições e as notificações a usuários registrados no CM/ECF não foram afetadas. Notificações em papel emitidas desde 13/10 recebem aviso de que podem ter sido enviadas com atraso. Se houve acesso a dados, o tipo de dado em risco é desconhecido: as fontes citam o National Creditor Registration Service, que gera as listas de endereços de credores, e contas de noticiamento eletrônico (EBN), mas não dizem que dados os sistemas da BAE guardavam. Não vou presumir.

O risco real. Para quem depende de notificações de falência, o risco imediato é prazo perdido por aviso atrasado. Para a cadeia de contratados do governo, é a lição de que um único fornecedor parou uma função de todo o sistema. Sobre vazamento, a única afirmação disponível é de quem tem interesse em negá-lo, e a evidência pública não permite ir além de confiança baixa na negação.

Todos os tribunais de falência federais dos EUA ficaram sem emissão de notificações eletrônicas e em papel, e sem o National Creditor Registration Service, de cerca de 9 a 26/10. Credores, devedores (sobretudo os não registrados no CM/ECF, como partes sem advogado) e advogados receberam avisos atrasados, e uma emergência da Regra 9038 permite aos juízes estender prazos até 7/1/2027. Os tribunais continuaram aceitando petições e o noticiamento eletrônico a usuários registrados no CM/ECF não foi afetado, segundo os avisos locais. Impacto sobre dados pessoais: não determinado. A BAE nega, mas sem evidência pública.