O sistema de alertas da Defesa Civil do Brasil, conhecido como Interface de Divulgação de Alertas Públicos (Idap), teve apenas um teste de segurança antes de episódios que resultaram no envio de mensagens falsas para milhões de pessoas. Segundo um documento do Ministério do Desenvolvimento Regional, a última avaliação ocorreu em dezembro de 2023.

Alertas falsos e investigação em curso

Em junho deste ano, a plataforma foi usada para disparar alertas falsos em sete estados e no Distrito Federal. A Defesa Civil Nacional investiga a utilização indevida de contas de agentes do Pará que enviaram mensagens com conteúdos absurdos, como “misantropia” e “ataque alienígena”. O caso é acompanhado pela Polícia Federal.

Teste de segurança e vulnerabilidades

De acordo com o documento que será enviado à Câmara dos Deputados, a Idap passou por testes de intrusão em dezembro de 2023, durante sua finalização. Os testes, realizados pelo Centro Integrado de Segurança Cibernética do Governo Digital, identificaram falhas, como interfaces expostas e falta de criptografia, as quais foram corrigidas na sequência.

Esclarecimento sobre ataque hacker

A Coordenação-Geral de Sistemas garantiu que não houve um ataque hacker. As mensagens foram enviadas por meio de credenciais de acesso válidas que foram encontradas na internet, além de manuais que auxiliaram na execução dos envios. A defesa é clara ao afirmar que a falha não foi uma invasão cibernética.

Medidas corretivas e nova versão do sistema

Após o incidente, o Ministério do Desenvolvimento Regional bloqueou o acesso externo ao sistema e, recentemente, restabeleceu após melhorias na segurança, incluindo novos fatores de autenticação e uso de VPN. A nova versão do Idap está prevista para ser lançada até o fim de julho, com melhorias significativas.

Expectativas para a nova plataforma

A nova plataforma terá maior capacidade de rastreamento, barreiras adicionais para funcionalidades sensíveis e a emissão de alertas com textos pré-definidos. Antes do lançamento, passará por uma validação de segurança com a participação de agências governamentais e equipes especializadas em segurança cibernética.