Senha vazada e captcha de dois mais dois: 30 milhões de celulares acordaram com um alerta falso da Defesa Civil
Entre 23h41 e 01h23 de 19 para 20 de junho, dez alertas de nível extremo com misantropi4 e invasão alienígena tocaram em sete estados e no DF. O invasor usou logins de servidores públicos vazados. O sistema não tinha segundo fator.
O primeiro alerta tocou em Curitiba às 23h41 de 19 de junho de 2026, em nível extremo, o que faz o celular gritar mesmo no silencioso. Até 01h23 foram dez alertas falsos, nove por Cell Broadcast e um por SMS, em São Paulo, Rio, Belo Horizonte, Brasília, Curitiba, Campo Grande, Salvador e Rio Branco, com misantropi4, invasão alienígena e insultos. A estimativa do governo, via Agência Brasil e Poder360, é de cerca de 30 milhões de pessoas atingidas em sete estados e no DF. Às 01h30 a plataforma foi tirada do ar.
Não houve exploit. O IDAP, a interface pela qual cerca de 600 usuários de mais de 180 órgãos autorizam alertas, aceitava login e senha, sem segundo fator, com um captcha de conta aritmética. O suposto autor, em entrevista ao TecMundo, disse ter testado credenciais de servidores públicos vazadas em bases como intelx.io e Telegram até duas funcionarem: eram de agentes da Defesa Civil do Pará, segundo O Globo e Metrópoles. Com acesso, seguiu o tutorial público da própria Defesa Civil para compor a mensagem. A R7 apurou que ao menos um envolvido é menor de idade; fonte única, confiança fraca.
O sistema voltou 36 horas depois, em 21 de junho, com o disparo restrito ao CENAD, o centro nacional; os estados perderam o acesso direto. Em 25 de junho o governo anunciou segundo fator via gov.br, VPN para os estados, rotação semestral de senhas e uma nova plataforma prometida para o fim de julho. A PF abriu inquérito em 22 de junho. Até esta edição, nem o lançamento da nova plataforma nem o resultado do inquérito foram localizados.
A conta dessa matéria não é em reais. É em pessoas: um botão que acorda 30 milhões protegido por uma senha que já estava à venda e uma soma que uma criança resolve. O contexto do GSI, citado pelo Convergência Digital: 20.780 incidentes em órgãos do governo até 1º de junho de 2026, contra 18.092 em todo o ano de 2025.
Um botão que acorda 30 milhões, protegido por uma senha que já estava à venda e uma soma que uma criança resolve.
O que protegia o botão| O disparo | |
| Alertas falsos, 23h41 a 01h23 | 10 |
| Estados atingidos, mais o DF | 7 |
| = Pessoas, estimativa do governo | ~30 mi |
| A porta | |
| Usuários com acesso ao IDAP | ~600 |
| Logins vazados que funcionaram | 2 |
| = Fatores de autenticação | 1 |
30 milhões é estimativa do governo (Agência Brasil, Poder360), sem metodologia publicada: confiança média. Dez alertas e a janela de horário: alta. Os 600 usuários e 180 órgãos vêm da entrevista ao TecMundo: média.
Servidores reutilizaram senhas já vazadas, o governo aceitou login simples para um botão que acorda 30 milhões de pessoas, e o manual estava público na internet.
O captcha de dois mais dois e a ausência de MFA vêm do relato do autor e batem com as medidas que o governo anunciou depois. Confiança média.
Evidência · 8 fontes▾
Entidades Defesa Civil Alerta, IDAP, SEDEC, CENAD, ABR Telecom, Anatel, Polícia Federal, GSI
