Alerta nuclear falso nos dois lados: o alvo foi o painel

Correção ao nosso registro: ele partia de uma manchete de notícia como nome da vítima, datava o caso em 03/11 (data da republicação no DataBreaches.net, que reproduz a AP) e carregava selo 'claimed' e veredito 'unverified'. O incidente ocorreu entre 1º e 2/11. As duas vítimas, os desenvolvedores do Air Alert e o MChS, confirmaram o evento, então o fato é confirmado e real. O que continua sem comprovação é quem o executou. Também não é um caso de vazamento: não há registros alegados nem confirmados, e os campos de dados ficam vazios.

Ucrânia. Segundo a imprensa ucraniana, o app foi criado em 2022 pela Ajax Systems e pela Stfalcon, em regime voluntário e com apoio do Ministério da Transformação Digital. Os alertas falsos circularam por volta das 22:47 e a Força Aérea reagiu às 23:02. O site Mezha (fonte única) fala em 122 notificações falsas em sete minutos, e outro veículo cita 103 alertas, então o número exato está em aberto. A Ucrânia não publicou detalhes técnicos. Os desenvolvedores disseram que houve acesso não autorizado à interface do operador e que o app em si e os dados dos usuários não foram atingidos, e declararam que não revelam mais detalhes por segurança. Essa versão é a da parte interessada e não tem verificação independente. Especialistas ouvidos pelo ZN.UA disseram que o ataque representaria ameaça direta a dados pessoais; é uma opinião sem prova, e o relato dos desenvolvedores a contradiz.

Rússia. O MChS afirmou que o ataque atingiu o painel de controle do app, que a mensagem falsa chegou a 33 regiões às 02:45 (Moscou), que os serviços foram desligados e que o NKTsKI vai apurar a causa da vulnerabilidade. Disse ainda que o app é só um serviço auxiliar e que a rede oficial de alerta (sirenes, SMS, rádio e TV) não foi afetada. A mensagem, segundo a Reuters, não tentava imitar comunicado oficial e continha palavrões e ofensas, o que a diferencia de uma operação de desinformação sutil. Vale registrar que a minimização do ministério ("app auxiliar") é coerente com o interesse institucional.

Atribuição na Ucrânia. SPRAVDI e a Força Aérea culparam a Rússia, apontando o idioma russo de uma das mensagens. Um grupo, Hitcore, apareceu numa das mensagens falsas e, segundo a AP, disse a um canal de Telegram russo (Mash, ligado a serviços de segurança) ser o autor; a AP afirmou que não pôde verificar. Veículos russos reproduzem a versão do grupo: o administrador teria sido enganado por um perfil que se passava por uma jovem de 17 anos e recebido malware disfarçado de foto. É uma história plausível como técnica, mas só existe como alegação e passou por um canal com histórico de proximidade com o aparato de segurança russo. O desenvolvedor não a confirmou, e a mensagem falsa vinha em idiomas mistos e inglês com erros, segundo uma fonte. Nada disso permite atribuir o ato ao Estado russo; o juízo fica baixo.

Atribuição na Rússia. Aqui o quadro é mais firme. Zelensky disse à PBS que a Ucrânia respondeu ao ataque contra o sistema ucraniano e que 'só responde' aos ataques russos. DC8044, descrito pelo The Record como grupo de hackers sediado em Kiev, reivindicou o ataque (segundo o Dig.Watch, via API do app, versão que difere da do MChS, que fala em painel de administração), e Atesh, grupo pró-ucraniano, publicou uma captura da mensagem. A declaração presidencial é admissão política e não distingue operação estatal de ação de grupos aliados. Há um dado jornalístico a notar: uma admissão de retaliação dentro de 24 horas aumenta a credibilidade de quem acusou a Rússia do primeiro ataque, mas é uma afirmação de parte, sem evidência pública. A atribuição de Zelensky ao lado russo, por isso, é alegação política e não prova técnica.

Contexto e precedente. Os ataques ocorreram perto do fim de um cessar-fogo local em Oleshky, mas as fontes só afirmam coincidência de tempo. O primeiro ataque começou antes do fim formal da trégua e o segundo cerca de três horas depois do primeiro. Não existe evidência de operação coordenada nem de um operador comum, e o Svoboda registra expressamente que não há indício de que os mesmos atores estejam por trás dos dois. Em 2023, hackers invadiram rádios comerciais russas para transmitir um falso alerta de ataque aéreo, segundo o The Register; ou seja, alertas públicos já eram alvo antes. A novidade aqui é a simetria: dois apps oficiais de alerta, com servidores centralizados, comprometidos em horas, por meio da mesma camada, o console do operador.

Técnica. Nenhuma das fontes sustenta mapeamento ATT&CK específico. A história de engenharia social (Hitcore) é alegação isolada, e as menções a 'API' e 'painel' vêm de partes distintas e não bastam para declarar técnica. Também não há CVE citado. Deixamos os campos vazios.

Na Ucrânia, usuários do Air Alert, app que a imprensa descreve como usado por milhões, receberam por minutos alertas de radiação, ataque químico, combate de rua e uma mensagem sobre o Oreshnik. A Força Aérea e o Ministério da Transformação Digital orientaram a população a usar sirenes e outros canais. A NBC relatou que muitos ucranianos não pareceram alarmados. As notificações foram desativadas e o app suspenso por um tempo, com a restauração gradual dos alertas, e a exibição de alvos no mapa continuava em recuperação em 2/11. Na Rússia, a mensagem falsa chegou a 33 das 89 regiões e a canais regionais do MChS no MAX; o ministério diz que o app foi restaurado ainda no dia 2 e que o sistema oficial não foi afetado. Não há evidência pública de impacto em sistemas militares ou na rede de sirenes dos dois países, nem confirmação independente de vazamento de dados de usuários.