Brecha para disparo de alertas com a palavra "misantropia" é responsabilidade do Estado, diz especialista em cibersegurança

Defesa Civil Alerta“Alerta de misantropia” expõe vulnerabilidade do sistema brasileiro para emergênciasPor Célio Yano

Dê de presentePrefira a Gazeta no GoogleInvasão hacker da Defesa Civil expõe brechas em sistemas estratégicos do Estado (Foto: Yasmin Fonseca/MIDR)Ouça este conteúdo

O provável ataque hacker que disparou uma série de alertas de nível extremo com a palavra “misantropia” para milhões de celulares de brasileiros expôs a fragilidade do sistema de avisos de emergência do país e pode levar a uma quebra de confiança da população sobre novos alertas.

A opinião é de Wanderson Castilho, especialista em crimes digitais e CEO da Enetsec, empresa norte-americana que atua com segurança cibernética.

O que há por trás de “misantropia” no alerta falso que usou o sistema da Defesa CivilAs mensagens foram enviadas pelo sistema Defesa Civil Alerta (DCA), iniciativa criada em parceria entre a Defesa Civil Nacional e a Agência Nacional de Telecomunicações (Anatel), com execução das operadoras de telefonia móvel Algar, Claro, Tim e Vivo.

O disparo é feito por meio da tecnologia Cell Broadcast, utilizado em sistemas de alerta e comunicação de emergência em diversos países, como Japão, Estados Unidos e Países Baixos. Diferentemente de envio por SMS, o alerta por Cell Broadcast é exibido sobreposto ao conteúdo em uso no celular, e só pode ser fechado com a ação do usuário.

Em situações de risco extremo, como foi configurado o falso alerta de “misantropia”, o aparelho ainda emite um sinal sonoro, similar a uma sirene, mesmo que esteja no modo silencioso. Além disso, não é necessário cadastro prévio para recebimento nem informação sobre local de residência do usuário: a mensagem é enviada para todos os dispositivos que estejam dentro da região de alcance de uma estação base de rede móvel.

“A tecnologia em si é a mesma empregada pelo mundo”, explica Castilho. “O que vai mudar é a infraestrutura de operação que tem o país. Infelizmente sabemos que a infraestrutura hoje é muito debilitada nos serviços públicos do Brasil”, avalia.

O cadastro dos alertas foi feito pela Interface de Divulgação de Alertas Públicos (Idap), cujo acessado é liberado a órgãos de defesa civil estaduais e municipais.

Após os alertas falsos desta madrugada, o sistema foi retirado do ar e deve permanecer suspenso até que haja garantia de segurança contra novos ataques.

De acordo com a Portaria 3.165/2024, do Ministério da Integração e do Desenvolvimento Regional (MIDR), a liberação de usuários e instituições para uso do Idap cabe ao Centro Nacional de Gerenciamento de Riscos e Desastres.

Entre os requisitos está a apresentação de certificado de conclusão de curso sobre a utilização do sistema e assinatura de termo de responsabilidade.

Uma nota publicada em fevereiro de 2023 no site do Centro Nacional de Monitoramento e Alertas de Desastres Naturais (Cemaden) informava que naquele momento “180 instituições e aproximadamente 600 usuários (entre estados e municípios)” tinham cadastro e capacitação para acessar o Idap e gerar informações prévias a desastres.

Para Castilho, o número de servidores aptos a utilizar a plataforma deve ser restrito, e a liberação do acesso, criteriosa. “Precisa ser limitado porque é um serviço de emergência público”, diz.

“Quando se ativa um serviço desses, nós estamos falando em milhares, senão milhões de pessoas afetadas. Um evento desses não fica restrito a 15, 20 segundos de efeito. Pode ter efeitos catastróficos. Pode gerar histeria em massa”, ressalta.

Castilho acrescenta que episódios de falsos alarmes como o desta madrugada, podem colocar em dúvida o sistema perante a população, um fenômeno conhecido como cry wolf. “Quando realmente for preciso que as pessoas tomem alguma atitude, elas podem não fazer, porque [os sistemas] já perderam toda a credibilidade.”

O próprio secretário nacional de Proteção e Defesa Civil, Wolnei Wolff, admite o risco. Na manhã deste sábado, em entrevista coletiva, ele disse que o caso “é muito ruim para o sistema, ainda mais pensando que a gente trata com a segurança das pessoas, com vidas”.

“É lógico que isso não é bom para a confiabilidade [do sistema]. Pelo contrário, é muito ruim”, reconheceu.

Para o especialista em cibersegurança, a responsabilidade pela vulnerabilidade da plataforma é da estrutura estatal que guarda o sistema. “O Estado, sem dúvida nenhuma, errou”, afirma. Ele considera urgente que os órgãos responsáveis modernizem a infraestrutura de acesso ao disparo de alertas.

“A primeira coisa que deve ser feita, além de tapar esses buracos, é identificar as pessoas que realizaram isso e dar a punição devida a elas”, diz.