Moldávia confirma 450 mil vítimas em seu maior ataque; NoName vende dados de Tajani na dark web

Moldávia confirma 450 mil vítimas em seu maior ataque; NoName vende dados de Tajani na dark web

A janela das últimas 72 horas consolidou um padrão que já vinha se desenhando desde o fim de outubro: o alvo deixou de ser o software isolado e passou a ser o Estado — seus registros civis, seus sistemas de saúde, suas bases de benefícios sociais — combinado com uma camada de pressão psicológica sobre pessoas físicas específicas. Dois episódios dominam o noticiário e, por motivos diferentes, merecem atenção de qualquer equipe de segurança.

O primeiro é a confirmação, pelo Conselho Nacional de Segurança da Moldávia, do maior incidente cibernético da história do país: cerca de 450 mil cidadãos com dados pessoais, médicos e financeiros expostos, num universo de 2,4 milhões de habitantes. O segundo vem da Itália, onde o grupo hacktivista pró-Rússia NoName057(16) publicou na dark web dados do vice-premiê e chanceler Antonio Tajani, do procurador de Roma e do chefe da Polícia Postal, e agora oferece pagamento por informações adicionais sobre eles e suas famílias. Fechando o quadro técnico, a CISA colocou no catálogo KEV uma falha de WebKit corrigida em maio de 2024 — lembrete de que exploração ativa nem sempre acompanha a idade do patch.

Moldávia: 11 milhões de requisições de acesso e uma detecção que veio de fora

O ataque à administração pública moldava ocorreu entre 19 e 23 de outubro de 2026, mas só foi dimensionado publicamente em 6 de novembro, após reunião do Conselho Nacional de Segurança convocada pela presidente Maia Sandu. Os números preliminares são o ponto mais relevante para quem trabalha com detecção:

aproximadamente 450 mil pessoas afetadas, algo próximo de um quinto da população do país;

cerca de 11 milhões de requisições de acesso a dados registradas durante a intrusão;

dez instituições públicas comprometidas, com exposição de históricos médicos, dados financeiros e expedientes de prestações sociais.

A escala das 11 milhões de requisições é o dado que separa este incidente de um vazamento comum. Volume dessa ordem, concentrado em cinco dias, indica acesso automatizado e repetido a bases estruturadas — comportamento típico de ator que já obteve credenciais ou uma posição de confiança em infraestrutura intermediária e passa a consultar registros sistematicamente, em vez de exfiltrar um único dump. Em ambientes de governo digital, onde um único barramento de integração conecta saúde, previdência e cadastro civil, esse tipo de movimento raramente aparece em logs de aplicação: ele se parece com tráfego legítimo de backoffice.

O segundo achado é organizacional, e é o mais desconfortável. Segundo o presidente da Comissão de Segurança Nacional, Defesa e Ordem Pública, Lilian Carp, o incidente foi sinalizado por cidadãos — não pelas instituições responsáveis pela segurança dos sistemas digitais do Estado. Ou seja: entre 19 e 23 de outubro, os controles internos não produziram alerta acionável. Para quem opera SOC, a lição é direta: se o único canal de descoberta é a reclamação do usuário, não existe detecção, existe atendimento.

Impacto esperado e medidas em curso. A Agência de Governança Eletrônica (AGE) ficou responsável por notificar os afetados por e-mail, e os bancos serão informados — passo essencial, porque a combinação de dados médicos, financeiros e de benefícios sociais é matéria-prima ideal para fraude de crédito, engenharia social direcionada e extorsão. O Conselho Nacional de Segurança aprovou um pacote de medidas de curto e médio prazo, com modernização de infraestrutura e reforço de proteção de dados. Não houve atribuição oficial de autoria, mas o episódio se insere na onda de ataques híbridos que atinge países europeus nas últimas semanas.

Para organizações que operam bases semelhantes, as mitigações práticas passam por: inventariar e restringir consultas em massa a bases sensíveis; aplicar limites de taxa e alertas por anomalia de volume por identidade de serviço; separar, em rede e em credencial, os barramentos de integração do governo digital; exigir MFA resistente a phishing para contas administrativas; e manter trilha de auditoria imutável com retenção suficiente para reconstruir cinco dias de consultas.

Itália: doxxing como arma de guerra informacional, com recompensa por informação

Na Itália, o vetor foi outro. Antonio Tajani confirmou em 7 de novembro que seus dados pessoais foram disseminados na dark web e atribuiu a ação a hackers pró-Rússia, ligando o episódio diretamente ao apoio italiano à Ucrânia. A investigação jornalística que antecedeu a confirmação aponta o NoName057(16), grupo hacktivista conhecido por campanhas de DDoS contra alvos ocidentais, como responsável por publicar uma lista de 18 pessoas descritas como "inimigos da Federação Russa". Entre os nomes estão o procurador de Roma, Francesco Lo Voi, e o chefe da Polícia Postal, Ivano Gabrielli.

O detalhe que muda o patamar de risco é o modelo de operação: além de divulgar o material, o grupo passou a oferecer dinheiro por informações adicionais sobre Tajani, seus familiares e os demais alvos. Isso desloca o ataque de uma ação unilateral para um mercado de coleta distribuída — qualquer pessoa com acesso a dados cadastrais, registros imobiliários, extratos ou contatos pessoais pode monetizar a contribuição. Tecnicamente, é crowdsourced OSINT com incentivo financeiro, e nenhuma ferramenta de perímetro detecta isso.

A consequência prática para o alvo é a superexposição permanente: dados que já circulam não podem ser "removidos", apenas monitorados. A presidente do Conselho, Giorgia Meloni, classificou o caso como motivo de grande preocupação, e Tajani afirmou que levará o tema ao G7, declarando que não se deixará intimidar.

Para equipes de segurança que protegem executivos e figuras públicas, o caso atualiza o playbook: mapear a pegada digital de familiares, não apenas do titular; remover dados de agregadores e brokers; congelar abertura de crédito e cadastros em nome do alvo; tratar SMS e e-mail como canais não confiáveis para recuperação de conta; e manter monitoramento contínuo de menções em fóruns e canais de mensageria, porque o próximo passo depois do doxxing costuma ser spear phishing com contexto real.

CISA põe no KEV uma falha do WebKit corrigida há dois anos e meio

No plano das vulnerabilidades, a decisão mais relevante da semana foi da CISA: em 4 de novembro, a agência adicionou a CVE-2024-27834 ao catálogo de vulnerabilidades com exploração conhecida, com prazo de remediação em 18 de novembro para órgãos federais civis dos Estados Unidos.

A ficha técnica merece leitura cuidadosa, porque a nota engana. Trata-se de uma autenticação imprópria no WebKit que permite contornar o Pointer Authentication Code (PAC) do ARM64e — o mecanismo que protege ponteiros contra sobrescrita. O NVD atribui CVSS 5.5, severidade média. A Apple corrigiu a falha em 13 de maio de 2024, e ela afeta:

iOS e iPadOS;

macOS e o navegador Safari;

tvOS e watchOS;

WebKitGTK em Linux.

A entrada no KEV se sustenta em evidências de exploração ativa, e o contexto é o que explica a contradição aparente entre nota 5.5 e catálogo federal. Análises de threat intelligence vinculam a falha a uma cadeia de exploração que termina em roubo de cookies de sessão, com entrega de malware infostealer e atribuição ao APT29, ligado ao serviço de inteligência externa russo. Isolada, a falha vale pouco; encadeada com um vetor de execução inicial, ela derruba a proteção de memória que dificultaria o próximo passo do atacante.

A consequência operacional: a métrica correta aqui não é "quantos ativos têm versão anterior a maio de 2024", e sim "quantos ativos Apple ainda não foram inventariados". Dispositivos móveis e Macs fora de MDM, com atualização adiada, são o alvo real. Mitigações recomendadas: forçar atualização para versões posteriores a 13 de maio de 2024 em toda a frota, incluindo WebKitGTK em distribuições Linux; exigir atualização de navegador e sistema no mesmo ciclo; invalidar sessões e tokens de dispositivos sem conformidade; e instrumentar detecção para infostealers — padrões de acesso a armazenamentos de cookies e credenciais de navegador são sinal mais confiável do que a tentativa de exploração em si.

Gnosis Pay: o elo fraco estava no sistema legado

Fechando a janela, a Gnosis Pay confirmou em 6 de novembro um acesso não autorizado ao seu sistema legado de cartões de consumo, ocorrido em 3 de novembro. Foram expostos nome, endereço residencial, número do cartão e carteiras de criptomoedas vinculadas. A empresa afirma que a contenção ocorreu em até duas horas, com substituição de credenciais afetadas e correção da falha, e que os fundos dos clientes e a plataforma de parceiros não foram atingidos.

Do ponto de vista de arquitetura, o caso repete um padrão recorrente em fintechs: o sistema novo recebe os controles, o legado recebe o tráfego residual e o risco. Nota-se também que o dado mais sensível não é o número do cartão — é o par formado por identidade verificada e endereço de carteira, que permite phishing altamente convincente. A orientação aos usuários é tratar qualquer contato sobre o incidente como suspeito e nunca confirmar dados por telefone ou mensagem.

O que esses três episódios dizem juntos

Lidos em conjunto, os casos apontam três deslocamentos concretos no cenário atual. O primeiro é a migração do alvo: infraestrutura crítica de dados civis — saúde, benefícios, cadastro — oferece impacto social imediato com esforço técnico moderado, e por isso virou prioridade. O segundo é a fusão entre cibercrime e guerra informacional: o NoName057(16), nascido como operação de DDoS, hoje faz doxxing com recompensa financeira, o que embaralha a distinção entre hacktivismo, espionagem e mercenário digital. O terceiro é a defasagem entre severidade de catálogo e risco real: uma falha de 2024, nota 5.5, só entra no KEV quando alguém a usa em cadeia — e a maioria das organizações não tem inventário para saber se ainda está exposta.

Nenhum dos três tem solução em um único patch. Todos têm solução em disciplina: inventário atualizado, detecção por comportamento e não por assinatura, e redução deliberada da superfície de dados pessoais que o Estado e as empresas realmente precisam manter acessível em tempo real.

Conclusão

O dia não trouxe um zero-day espetacular, e talvez seja justamente por isso que ele importa. O que expôs 450 mil moldavos foi acesso repetido a bases que deveriam ter limites de consulta; o que expôs um chanceler europeu foi a dispersão de dados que ninguém consegue recolher; o que mantém uma falha de 2024 explorável em 2026 é frota sem inventário. Se você administra sistemas, comece por duas perguntas nesta segunda-feira: quem na sua organização consulta bases sensíveis em massa, e como você saberia se isso acontecesse agora? Se a resposta depender de um usuário reclamar, o trabalho já está atrasado.

Compartilhe este artigo com o time de segurança e com quem responde pela governança de dados na sua organização. Se quiser esse tipo de análise técnica consolidada toda manhã, assine a newsletter e receba o fechamento antes da primeira reunião do dia.

Fontes