- Na madrugada de sábado, vinte de junho, cidadãos de ao menos dez estados receberam um alerta com a palavra misantropia, supostamente enviados pelo provável autor conhecido como Misantropo via Idap, sistema da Defesa Civil Nacional.
- O responsável alega ter utilizado credenciais de CPF de três servidores públicos para enviar os avisos a oito estados, em um esquema sem autenticação de múltiplos fatores.
- Entre as credenciais, uma estava associada a um sargento do Corpo de Bombeiros Militar do Pará; os nomes dos demais cadastros também aparecem na versão vazada, com senhas simples.
- A Polícia Federal investiga o caso; o Ministério da Integração e Desenvolvimento Regional informou que está colaborando e que as credenciais utilizadas já foram atualizadas.
- O Idap utiliza captcha para evitar acessos automatizados; especialistas ressaltam a importância de autenticação em múltiplos fatores para reduzir riscos, mesmo diante de senhas simples.
Na madrugada de sábado, 20 de junho, cidadãos de ao menos dez estados receberam alertas com a palavra misantropia. O suposto autor, identificado como Misantropo, afirma ter invadido o Idap, sistema de notificações da Defesa Civil Nacional, usando credenciais vazadas de servidores públicos.
Segundo o próprio Misantropo, as credenciais permitiram enviar avisos para oito estados, incluindo Rio de Janeiro e Curitiba, além de outros lugares. O material com as supostas credenciais foi obtido pelo TecMundo durante a apuração, mas não é possível confirmar a autenticidade de forma independente.
Entre as credenciais, uma teria CPF de um sargento do Corpo de Bombeiros Militar do Pará, encontrado em um vídeo de bastidores da invasão publicado pelo próprio suspeito. A identificação do usuário logado gerou censura parcial do material pelo veículo de imprensa, por motivos legais.
O conjunto utilizado para o ataque envolve acessos de três servidores públicos, com diferentes alcances de alerta. Enquanto uma credencial permitiria avisar mais estados, as outras teriam alcance menor, com senhas que variam entre números, letras e datas.
O código de acesso parecia não exigir autenticação de múltiplos fatores, segundo o informante. O suposto uso combinava apenas números simples para validação, o que facilita a invasão quando não há proteção adicional adequada.
Especialistas destacam que o Idap usa um captcha para evitar acessos automatizados, mas recursos modernos de segurança podem contornar esse tipo de verificação. Medidas adicionais de autenticação, como Google Authenticator, são apontadas como mais seguras quando implementadas corretamente.
O Ministério da Integração e do Desenvolvimento Regional informou que a investigação está em curso com a Polícia Federal. A Secretaria Nacional de Proteção e Defesa Civil colabora com as apurações, que devem seguir até o encerramento do processo.
A PF não comenta investigações em andamento, segundo o órgão. O governo federal não divulgou datas oficiais sobre o retorno do Idap nem sobre o status das credenciais utilizadas, mantendo o uso de informações sob sigilo até novas análises.
Entre na conversa da comunidade