Hack a alertas de emergência no Brasil manda “misantropi4” a milhões

A sirene que devia avisar cheias, deslizamentos ou tempestades acordou milhões de brasileiros com uma palavra só: “misan­tropi4”. Não era teste nem falha de software. Era intrusão directa no sistema nacional de alertas da Defesa Civil.

Na noite de 19 de junho, hackers conseguiram enviar pelo menos 10 alertas não autorizados através da plataforma oficial, usando a categoria mais grave, “Alerta Extremo”, aquela pensada para desastres iminentes. As notificações, que passam por cima do modo silencioso e sobrepõem tudo no ecrã, começaram no estado do Paraná por volta das 23h40 e alargaram-se em poucas horas a São Paulo, Rio de Janeiro, Brasília, Bahia, Pará, Mato Grosso do Sul e Acre.

O texto recebido pelos utilizadores era curto e enigmático: “Defesa Civil: misantropi4”, trocando o “a” final pelo número 4, truque clássico de leetspeak. Em português, misantropia é aversão à humanidade. Em termos operacionais, a mensagem não trazia instruções perigosas nem incitava ao pânico, mas o simples uso da prioridade máxima foi suficiente para provocar sobressalto massivo a meio da noite. Segundo estimativa citada pelo meio alemão Ad-hoc-News, cerca de 30 milhões de pessoas poderão ter sido atingidas, embora o governo federal não tenha confirmado números.

O Ministério da Integração e do Desenvolvimento Regional encerrou a plataforma às 1h30 de sábado, depois de confirmar a violação. A Polícia Federal foi chamada a investigar e não há ainda calendário para reactivação do sistema. O secretário nacional de Protecção e Defesa Civil, Wolnei Wolff, admitiu em conferência de imprensa que os atacantes chegaram a recuperar acesso depois de uma primeira tentativa de bloqueio. Para um sistema deste tipo, isto equivale a descobrir que a porta de emergência não só estava destrancada, como continuou assim após o primeiro alerta interno.

Importa notar que o sistema de Cell Broadcast brasileiro é recente. A autoridade reguladora Anatel tornou-o obrigatório em 2022, os primeiros pilotos arrancaram em 11 cidades em agosto de 2024 e a cobertura nacional ainda estava em expansão. Ou seja, estamos a falar de uma infra-estrutura crítica em fase de consolidação, com todos os ingredientes clássicos para falhas de segurança: integração apressada, múltiplas entidades a operar e, tipicamente, equipas de cibersegurança subdimensionadas. O padrão não é exclusivo do Brasil, basta lembrar como ataques a infra-estruturas públicas têm escalado noutros contextos, do treino de ciberataques urbanos à exposição de dados biométricos.

Para Portugal e resto da Europa, o episódio é um aviso pouco subtil. Sistemas de alerta público baseados em Cell Broadcast ou SMS são agora peça central de estratégia de protecção civil. Se um atacante consegue usá-los como megafone para mensagens arbitrárias, o melhor cenário é este: uma noite mal dormida e descrédito crescente. O pior é óbvio, alguém usar a mesma via para instruções perigosas durante um desastre real. O Brasil acordou com “misan­tropi4”. O verdadeiro problema é o que isto diz sobre o desenho e a vigilância das nossas próprias sirenes digitais.

Fonte: The Next Web