Uma sequência de ataques contra sites de Câmaras Municipais chamou a atenção para a segurança dos portais utilizados por órgãos públicos.

Na noite de segunda-feira (10), foram afetadas as páginas das Câmaras de Serra, Anchieta, Água Doce do Norte e Itapemirim, no Espírito Santo. O site da Câmara de Porto Real, no Rio de Janeiro, também teria sido atingido.

Na manhã de terça-feira (11), os portais estavam fora do ar. Ao acessar algumas das páginas, usuários encontraram mensagens atribuídas aos responsáveis pelos ataques, com críticas a políticos e à Ágape Consultoria, empresa que presta serviços tecnológicos a órgãos públicos.

Os autores das mensagens alegaram ter acessado sistemas e bancos de dados. Também fizeram referência às Câmaras de João Neiva, Ibatiba, Brejetuba e Vitória.

Essas declarações, contudo, partiram dos próprios invasores. Até o momento, não foi apresentada confirmação independente de que todos os órgãos mencionados tenham sido atacados ou de que informações pessoais e institucionais tenham sido efetivamente acessadas, copiadas ou divulgadas.

Site da Câmara de Vitória também foi atingido

O site da Câmara Municipal de Vitória havia sofrido outro ataque na manhã de 6 de agosto. A página inicial foi modificada para exibir mensagens contra políticos, autoridades e instituições públicas.

Os responsáveis pelo ataque também afirmaram ter acessado informações do sistema de ouvidoria. A Câmara de Vitória negou que os sistemas internos e os bancos de dados institucionais tivessem sido comprometidos.

Segundo a Casa, o incidente ficou restrito à área externa do portal. Os sistemas internos, os processos legislativos e as atividades administrativas teriam continuado funcionando normalmente, sem alteração ou perda de informações.

A Câmara informou ainda que sua infraestrutura interna é separada do ambiente de hospedagem do site institucional, administrado externamente por uma empresa contratada.

Empresa informou ter acionado protocolo de segurança

Após o ataque ao portal de Vitória, a Ágape Consultoria informou que acionou seu protocolo de segurança e retirou a página do ar como medida de proteção.

Na ocasião, a empresa afirmou que o diagnóstico ainda estava sendo elaborado e que o conteúdo do site permanecia preservado.

A Câmara de Vitória declarou que as autoridades competentes foram notificadas e informou já ter realizado análise de vulnerabilidades e teste de invasão em sua infraestrutura interna.

As informações divulgadas, entretanto, não permitem determinar tecnicamente qual vulnerabilidade foi explorada nem atribuir responsabilidade pelo incidente. Essa conclusão depende da análise dos registros dos sistemas, da infraestrutura de hospedagem, das credenciais utilizadas e das obrigações previstas no contrato.

Cariacica registrou caso semelhante

O site da Câmara de Cariacica também sofreu uma invasão em 10 de julho. A página foi modificada para exibir uma imagem e uma mensagem deixada pelo invasor.

Segundo a Câmara, a empresa responsável pelo portal identificou o incidente e removeu o conteúdo. Um relatório apresentado pela gestora informou que não houve acesso a informações sigilosas, vazamento de dados ou comprometimento da hospedagem.

Episódios exigem esclarecimentos

Ataques contra páginas públicas não significam necessariamente que sistemas internos ou bancos de dados tenham sido invadidos. Ainda assim, a repetição dos episódios reforça a necessidade de esclarecimentos técnicos por parte dos órgãos públicos e das empresas envolvidas.

Entre os pontos que podem ser informados à população estão o alcance de cada incidente, as medidas adotadas para restabelecer os portais e as providências implementadas para evitar novas ocorrências.

Também é importante que as Câmaras esclareçam quais empresas estavam contratadas em cada caso, quais serviços estavam incluídos nos contratos e quem era responsável pela hospedagem, manutenção, atualização e segurança dos ambientes afetados.

Caso seja identificado um incidente envolvendo dados pessoais com possibilidade de risco ou dano relevante, caberá ao órgão responsável avaliar as providências previstas na Lei Geral de Proteção de Dados e nas normas da Autoridade Nacional de Proteção de Dados.

Até a conclusão das apurações, não é possível afirmar que houve vazamento de informações nem atribuir a responsabilidade técnica pelos ataques a uma empresa específica. O caso, porém, demonstra a importância de transparência, fiscalização dos contratos públicos e divulgação dos resultados das investigações.