Um novo grupo de criminosos cibernéticos surgiu na web e já realizou um feito que, venhamos e convenhamos, conseguiu chamar atenção. Eles invadiram servidores e vazaram dados pessoais de três grandes instituições brasileiras de forma simultânea: a Faculdade de Medicina da Universidade de São Paulo (FMUSP), a Escola Preparatória de Cadetes do Ar (EPCAR) da Força Aérea Brasileira (FAB) e a Marinha do Brasil. Todas as coleções de informações foram disponibilizadas em um site acessível por qualquer um.
No que diz respeito à FMUSP, foram, no total, 4.370 estudantes afetados pelos invasores. Os criminosos decidiram expor ID interno, RG, CPF, CEP, nome, email e senha das vítimas (embora não tenha ficado claro para qual sistema tais credenciais seriam utilizadas — a The Hack também não conseguiu descobrir tal informação). Os dados parecem legítimos e vários dos emails são, inclusive, hospedados no domínio oficial da faculdade em questão (@usp.br ou @fm.usp.br).
Já sobre a FAB, os meliantes ainda brincam: “Epcar é uma instituição educacional da FAB (Força Aérea Brasileira, Força Aérea da Biqueira ou Farinha Aérea Brasileira?)”. Neste vazamento, temos 1.117 afetados, sendo que os dados expostos foram ID interno, nome completo, nome de guerra, email e senha. Novamente, foi impossível identificar para qual sistema exatamente tais credenciais seriam utilizadas, mas podemos supor que seja de algum ambiente virtual de aprendizagem dos cadetes.
Por fim, na Marinha, os integrantes do Digital Sp4c3 brincam que “preferem perder a guerra e ganhar a paz, por isso lutam contra os seus ‘defensores’ navais”. São 912 dados vazados, incluindo posto (capitão etc.), login, nome completo, senha e uma série de sequências numéricas sem explicação alguma.
Pior momento possível
A ação da Digital Sp4c3 vem em má hora, quando o Brasil e o mundo já está com a atenção na pandemia da doença infecciosa COVID-19. Além disso, é curioso o fato de que a equipe não deixou claro quais vulnerabilidades foram exploradas para realizar a extração dos dados (que, inclusive, estão todos disponíveis para download em arquivos no formato CSV). Também não houve uma explicação plausível sobre a motivação para tais ataques e exposições, que, no fim das contas, apenas vitimizam os alunos e oficiais.
A The Hack continuará monitorando o caso e notificando as instituições afetadas. Por motivos de ética, não divulgaremos a URL que hospeda os dados vazados.