Moldávia admite 750 mil IDs extraídos; autoria segue sem prova
Agência de Governança Eletrônica (AGE) — serviços digitais do governo da Moldávia
alegado em · apurado em
O incidente é real e foi confirmado pela própria vítima: a AGE da Moldávia estima que dados ligados a cerca de 750 mil IDNPs (o número de identificação nacional) foram extraídos entre 19 e 23 de outubro de 2026 por meio de serviços públicos acessíveis sem autenticação. A atribuição a 'atores estatais estrangeiros' é uma hipótese declarada pelo primeiro-ministro, sem prova pública; nenhum grupo reivindicou o ataque.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
A extração de dados aconteceu e atingiu ordem de grandeza de centenas de milhares de IDs. A AGE, a STISC e a notificação enviada ao regulador de dados pessoais (CNPDCP) convergem em ~1 milhão de IDNPs consultados e ~750 mil conjuntos de dados possivelmente extraídos. O número é preliminar e ainda pode ser revisto para baixo após a remoção de sobreposições.
O vetor foi abuso de serviços públicos sem autenticação, com extração automatizada em massa (~11 milhões de requisições, ~11 por IDNP consultado, ~75% de 'acerto'). Não há indício público de malware, credencial roubada ou exploração de CVE. O caso se parece mais com falha de desenho e de controle de enumeração do que com intrusão sofisticada. Seria desmentido por um relatório forense que mostre acesso privilegiado prévio ou execução de código.
A atribuição a um Estado estrangeiro não está sustentada por evidência pública. O premier fala em 'indícios' de campanha mais ampla, sem nomear país ou grupo. A The Record registra que não houve atribuição formal. O histórico de ataques de origem russa contra a Moldávia é contexto, não prova. A ausência de reivindicação e de pedido de resgate é compatível tanto com espionagem quanto com coleta para revenda.
A afirmação de que as vulnerabilidades 'puderam ser exploradas com ajuda de IA' não tem nenhum dado técnico público (ferramenta, padrão de tráfego, artefato). O que existe é a fala do premier. O padrão descrito pela AGE (consulta sequencial/automatizada de IDs em endpoints abertos) não exige IA e pode ser feito com scripts comuns.
O enquadramento 'um quarto' (bne IntelliNews) ou 'um terço' (Risky Bulletin) da população é impreciso. IDNP não equivale a residente vivo único, os denominadores variam (2,35 milhões em uma fonte) e a AGE avisa que nem toda categoria de dado foi exposta em todos os casos. Em sentido contrário, o conjunto inclui dados de pais e filhos, então terceiros podem estar expostos além dos 750 mil IDNPs. Ninguém mediu esse efeito indireto.
Não há evidência pública de ligação com o ataque de abril de 2026 ao banco de dados do seguro de saúde (CNAM). Risky Bulletin e The Record tratam os dois casos como incidentes separados no mesmo ano. A sobreposição de categorias (status de segurado, médico de família) levanta a pergunta, mas não a responde.
Análise
Nosso registro estava defasado em três pontos. O selo 'claimed' e o veredito 'unverified' não se sustentam: não há alegação de ator, e a vítima confirmou o incidente e o volume preliminar. A data de 28/10 no registro é a da fala do premier, não a da divulgação (24 e 27/10). E o campo 'organização' guardava uma manchete, não a vítima. Corrigimos para confidence 'confirmed' e verdict 'real'. 'Confirmado' vale para o fato e para o volume preliminar da própria AGE, não para a autoria.
O que a vítima admite, segundo o comunicado da AGE e a notificação ao CNPDCP: ~1 milhão de IDNPs consultados entre 19 e 23/10; dados de ~750 mil possivelmente extraídos; ~11 milhões de requisições. As categorias potencialmente expostas incluem nome, IDNP, data e local de nascimento, foto, pais e filhos, status de segurado, médico de família, benefícios, pensões, deficiência, carteira de motorista, veículos, empresas, IBAN, dívidas fiscais e histórico do MPay. A AGE ressalva que a lista não vale para todos os IDs. Afirma que dados de cartão não foram afetados e que não achou alteração nos registros estatais. A notificação diz que os números são preliminares e podem cair após a eliminação de sobreposições.
O ator não alega nada. Nas fontes lidas, não há reivindicação em fórum, canal ou site de vazamento, nem pedido de resgate, nem prova de revenda. Por isso 'claimed_records' é nulo e a distância ator-vítima não existe: o único número é o da vítima. Essa distância costuma ser informação útil, e aqui falta justamente o outro lado. Não sabemos quem tem os dados nem o que fará com eles.
A aritmética da própria AGE descreve o método: ~11 milhões de requisições para ~1 milhão de IDNPs dá ~11 requisições por ID, e 750 mil de 1 milhão dá ~75% de êxito. Isso é consulta em massa por identificador, automatizada, contra serviços que, segundo a AGE, não exigiam autenticação e que depois serviram de ponte para extrair dados de sistemas interligados. Um serviço também registrava a base legal do tratamento de forma incorreta. Por isso os cidadãos viram entradas estranhas no histórico de acessos do app EVO, e isso ajudou a denunciar o ataque. É um detalhe de log, não o vetor. Há divergência de datas: a STISC falou em 'noite de 22/10', a AGE depois estendeu a janela para 19/10. Houve três dias de consultas antes do primeiro alerta.
A atribuição é onde a narrativa fica mais fraca. A The Record e outras fontes registram que a Moldávia não atribuiu o ataque a nenhum país ou grupo. O premier fala em 'indícios' de campanha ampla com atores estatais estrangeiros, e um especialista ouvido pela HotNews considera a Rússia a hipótese. É opinião, não evidência. O contexto pesa, já que a Moldávia vem sofrendo DDoS, ataques e interferência de origem russa desde
2022. Mas contexto não é prova, e o incidente mostra falhas básicas de controle em sistemas públicos. A pergunta de quem se beneficia da narrativa se aplica aos dois lados. Uma campanha estatal estrangeira desloca o foco de uma falha de controle de acesso em serviços da AGE, e o governo pediu ajuda externa e anunciou novo SOC. Isso não prova que a hipótese seja falsa; apenas exige que seja demonstrada. Tofan também citou ataques recentes na Dinamarca, na França e na Coreia do Sul como parte de um padrão. Não verificamos essas citações e não temos base para ligá-las ao caso moldavo.
A fala do premier de que as vulnerabilidades 'puderam ser exploradas com ajuda de IA' merece cautela. Não há artefato nem descrição técnica. Extração automatizada por script explica o volume observado sem IA. Tratamos a afirmação como declaração política, não como achado técnico.
Sobre a saída da diretora da AGE: Colomeeț diz ter se retirado 'por iniciativa própria' e propôs 'dar um passo atrás'. Parte da imprensa moldava fala em demissão ou em pedido para que ela saísse. Ela própria diz ter herdado uma instituição com mais de 30 sistemas e 200 serviços e recursos humanos insuficientes. A responsabilidade institucional é um fato político; a causalidade técnica não foi demonstrada.
O contexto de 2026 pesa mais do que uma leitura isolada permitiria. Em abril, o banco de dados do CNAM (seguro de saúde) sofreu um ataque que, segundo o vice-diretor da agência de segurança cibernética, afetou cerca de 30% da base. Ele disse não ter havido pedido de resgate e citou possível ligação com atores russos, sem prova. Este é o segundo grande incidente de dados do ano no país, segundo a Risky Bulletin. Não há evidência de elo entre os dois.
Cronologia
- 11 set 2026Ataque DDoS tira do ar sites da Presidência, do Governo e de outras instituições moldavas, segundo nota da STISC. Não há vínculo comprovado com o incidente de outubro.
- 19 out 2026Início da janela de consultas e extração, segundo a AGE (19 a 23 de outubro).
- 22 out 2026AGE, STISC e ASC situam o incidente 'na noite de 22 de outubro'. É a data do alerta inicial, não do início das consultas, que a AGE depois recuou para 19/10.
- 23 out 2026Às 11h30 a extração é interrompida. No mesmo dia, 82 serviços públicos e mais de 30 sistemas e painéis administrativos são desligados preventivamente. Polícia e CNPDCP são acionados.
- 24 out 2026O ataque é anunciado publicamente, ainda sem números de pessoas afetadas.
- 25 out 2026Por volta das 02h00, nova tentativa de acesso forçado é identificada e bloqueada.
- 26 out 2026Serviços de solicitação e emissão de atos permissivos são restabelecidos. Outros seguem indisponíveis. AGE diz que ainda não consegue confirmar se os dados de cidadãos individuais que reclamaram foram de fato acessados.
- 27 out 2026AGE divulga achados preliminares: ~1 milhão de IDNPs consultados e ~750 mil com dados extraídos. Nova tentativa de extração na manhã do mesmo dia é descrita como malsucedida.
- 28 out 2026O premier Vasile Tofan diz haver indícios de campanha mais ampla com atores estatais estrangeiros e anuncia um centro nacional de segurança cibernética (SOC na ASC). A diretora da AGE, Nicoleta Colomeeț, deixa o cargo.
Dados envolvidos
Impacto
Cerca de 750 mil IDNPs tiveram dados possivelmente extraídos (estimativa preliminar da AGE), em categorias que variam de pessoa para pessoa. Dados de pais e filhos também aparecem na lista, então a exposição pode alcançar terceiros. O risco concreto, apontado pela AGE e pelo CNPDCP, é fraude baseada em personificação: golpistas que citam nome e IDNP para ganhar credibilidade ao se passar por banco, órgão público ou aduana. Cartões bancários não foram afetados, e saber o IBAN sozinho não permite movimentar a conta. As autoridades dizem não ter encontrado alteração de registros estatais. Houve indisponibilidade operacional: 82 serviços e mais de 30 sistemas foram desligados em 23/10. Parte foi restabelecida (atos permissivos em 26/10), e a imprensa moldava informa que o login MPass em duas etapas e via EVO Sign foi temporariamente desativado. A Comissão Eleitoral Central afirmou que os sistemas eleitorais não foram afetados.
Elos técnicos
Recomendações
- Todo endpoint que consulta dados por identificador nacional (IDNP, CPF etc.) deve exigir autenticação e vínculo com finalidade. Inventarie rotas e APIs expostas e feche as que respondem sem sessão. Teste isso de forma automatizada e contínua, com varredura de endpoints não autenticados.
- Detecte enumeração por identificador: alerte e limite por cliente/IP/conta quando o número de IDs distintos consultados ou a taxa de requisições superar a linha de base. Neste caso, ~1 milhão de IDs e ~11 milhões de requisições em cinco dias eram detectáveis por volume.
- Aplique privilégio mínimo e segmentação entre sistemas interligados. A AGE descreve que os dados obtidos em serviços abertos alimentaram extrações adicionais em outros sistemas; contas de serviço e integrações não devem permitir esse encadeamento.
- Garanta integridade e correção dos logs de acesso (base legal, serviço, origem). O erro de registro da base legal quase mascarou o padrão e só foi percebido porque cidadãos viram o histórico no EVO. Revise as trilhas de auditoria de todos os serviços que consultam dados pessoais.
- Trate IDNP e dados cadastrais como não secretos. Não os use como prova de identidade em atendimento, call center ou verificação por conhecimento. Para equipes antifraude de bancos e operadoras: monitore tentativas de contato que citam nome, IDNP e dados do cidadão, e reforce a verificação por canal independente.
- Para cidadãos afetados: desconfiar de ligações, SMS e e-mails que citem seus dados e peçam informações adicionais. Verificar o histórico de acessos a dados pessoais no EVO e não compartilhar senhas ou códigos.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Quantos IDNPs/pessoas foram de fato afetados, após remoção de sobreposições — o relatório final da AGE/STISC/ASC ou a resposta do CNPDCP resolveria.
Qual serviço e qual falha exatamente foram usados, e se já foram corrigidos — o relatório técnico forense ou um boletim da ASC/STISC resolveria; hoje só há 'serviços sem autenticação' e um erro de log, sem detalhe de endpoint ou controle ausente.
Quem está por trás e com qual objetivo — atribuição técnica pública (infraestrutura, TTPs, destino dos dados) ou reivindicação verificável do ator resolveria; hoje só existe a hipótese política do premier.
Se os dados já foram vendidos, publicados ou entregues a terceiros — monitoramento de mercados e canais de vazamento por equipes de resposta, e comunicação oficial, resolveriam; não encontramos indício nas fontes lidas.
Se houve emprego de IA na exploração — evidência técnica (padrão de requisições, ferramentas) resolveria; hoje é só afirmação do premier.
Se há relação com o ataque ao CNAM de abril de 2026 — comparação forense dos dois incidentes e o desfecho da investigação do CNAM resolveriam.
Se a janela real começou antes de 19/10 — revisão retroativa de logs dos serviços afetados resolveria, já que o alerta inicial falou em 22/10 e a AGE depois recuou para 19/10.
Se os cidadãos que reclamaram de acessos indevidos no histórico do EVO foram de fato atingidos — a AGE disse em 26/10 que ainda não podia confirmar caso a caso; a verificação individual prometida resolveria.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.