Tecnologia usada na Defesa Civil tem falha de autenticação e permite spoofing
Um ataque coordenado de cibercriminosos comprometeu, na madrugada desta quinta-feira (20 de junho), a plataforma do sistema nacional “Defesa Civil Alerta”. Por volta de 1h30, invasores conseguiram disparar de forma indevida um aviso classificado como de nível “extremo” para celulares em áreas de Bahia, São Paulo, Paraná e Rio de Janeiro, segundo comunicado da Secretaria Nacional de Proteção e Defesa Civil (Sedec), ligada ao Ministério da Integração e do Desenvolvimento Regional (MIDR).
De acordo com nota oficial do ministério, o comando do disparo não partiu de nenhum órgão integrante do Sistema Nacional de Proteção e Defesa Civil. A ordem para envio da notificação foi emitida remotamente por um usuário externo, sem qualquer vínculo com a estrutura oficial. Ou seja, alguém de fora do ecossistema da Defesa Civil conseguiu se passar pelo sistema legítimo e utilizar a mesma infraestrutura capaz de distribuir alertas de emergência em larga escala.
A mensagem enviada continha apenas a palavra “misantropia” – termo que designa ódio ou aversão à humanidade – e foi marcada na categoria de “alerta extremo”. Essa classificação é reservada a comunicações de maior criticidade, normalmente usadas em situações de desastres naturais iminentes, riscos severos à vida ou eventos que exigem ação imediata da população, conforme explicado por órgãos oficiais.
Como medida emergencial, a plataforma de envio de alertas foi imediatamente retirada do ar após a detecção da invasão. A Sedec informou que acionou a Polícia Federal para apurar a origem do ataque, possíveis cúmplices, métodos usados e o real alcance da invasão. Em paralelo, equipes técnicas trabalham para restabelecer o sistema, operação que só será concluída quando houver garantia de que todos os requisitos de segurança cibernética estejam restituídos e reforçados.
Cell Broadcast: como funciona a tecnologia usada em alertas de emergência
O “Defesa Civil Alerta” opera sobre a tecnologia Cell Broadcast (SMS-CB), um padrão de comunicação definido pelo 3GPP desde as redes 2G e que continua presente em 3G, 4G e 5G. Diferentemente do SMS tradicional, que funciona no modelo ponto a ponto (um remetente para um destinatário específico), o Cell Broadcast é um serviço de difusão unidirecional (um-para-muitos).
Nesse modelo, a mensagem é enviada para todos os aparelhos conectados a uma determinada célula de rádio ou conjunto de células, sem necessidade de cadastro prévio dos usuários. A grande vantagem é a rapidez e o alcance: é possível notificar milhões de pessoas em áreas geográficas bem delimitadas em poucos segundos, o que torna a tecnologia especialmente adequada para alertas de enchentes, rompimento de barragens, deslizamentos, incêndios florestais, entre outros cenários de alto risco.
Outro ponto importante é o georreferenciamento. O sistema não dispara a mensagem para todo o país indiscriminadamente. Em vez disso, o alerta é segmentado por região, atingindo apenas os aparelhos que, naquele momento, estão conectados às células de rádio configuradas para receber aquela notificação. Isso reduz o pânico desnecessário e concentra a comunicação apenas em quem realmente está sob ameaça.
A vulnerabilidade estrutural: ausência de autenticação forte
O ponto frágil dessa arquitetura está justamente na camada de confiança do protocolo. O padrão de Cell Broadcast, em sua concepção original, não exige autenticação criptográfica robusta entre a estação rádio-base e o aparelho celular para que o aviso seja exibido. O dispositivo simplesmente confia nas informações que chegam da rede, assumindo que a origem é legítima.
Essa ausência de verificação de autenticidade abre brechas para ataques de spoofing – quando alguém se passa por uma fonte confiável para enviar mensagens falsas. Pesquisadores de segurança, ao longo dos últimos anos, demonstraram experimentalmente que é possível utilizar rádios definidos por software (SDR) e outros equipamentos de baixo custo para montar estações base falsas, capazes de transmitir mensagens de emergência forjadas para dispositivos próximos.
Na prática, o celular não “sabe” se está recebendo dados de uma torre legítima da operadora ou de uma estação pirata que está imitando os parâmetros técnicos da rede. Como não há uma assinatura digital ou algum tipo de selo criptográfico verificável pelo aparelho, qualquer emissor que consiga simular o comportamento de uma antena autorizada pode tentar injetar mensagens falsas no fluxo.
Duas linhas principais de investigação para o ataque
Especialistas em cibersegurança que analisam o caso trabalham, em linhas gerais, com duas hipóteses principais para explicar o ataque ocorrido.
A primeira possibilidade envolve uma estação base falsa (fake base station). Nessa modalidade, o invasor utiliza equipamentos de rádio para emular o sinal de uma antena legítima em determinada área. Os celulares próximos, ao perceberem um sinal aparentemente válido, podem se conectar a essa estação maliciosa. Uma vez estabelecida a conexão, a falsa antena é capaz de enviar mensagens de Cell Broadcast que aparecem nos aparelhos como se fossem alertas oficiais da Defesa Civil.
A segunda hipótese é ainda mais sensível: a invasão direta ao Centro de Broadcast Celular (CBC) da Defesa Civil, o componente do sistema responsável por originar e encaminhar as mensagens de alerta às operadoras de telecomunicações. Se um atacante obtiver acesso indevido a esse centro – por exemplo, explorando vulnerabilidades em sistemas internos, falhas de autenticação, senhas fracas ou credenciais vazadas – ele passa a ter capacidade de ordenar disparos legítimos de alerta para qualquer região coberta pelo sistema.
Em ambos os cenários, o resultado final é o mesmo para o usuário final: uma mensagem com aparência oficial aparece na tela, muitas vezes acompanhada de sons estridentes e notificações em tela cheia, projetados justamente para chamar atenção em casos de risco real. A diferença é que, em um caso, o ataque se apoia em engenharia de rádio e imitação de antenas; no outro, em comprometimento direto da infraestrutura de origem.
Outras fragilidades: software e dispositivos
Além da arquitetura de rede em si, o ecossistema de alertas também depende do comportamento dos sistemas operacionais dos celulares. Recentemente, uma vulnerabilidade em Android (catalogada como CVE-2025-48534) foi corrigida após ser identificada como um risco potencial para o serviço de Cell Broadcast.
Essa falha permitia que um aplicativo malicioso, dotado de determinadas permissões, causasse uma negação de serviço no módulo de recebimento de broadcast, impedindo ou interferindo na recepção adequada dos alertas. Em outras palavras, um criminoso não apenas pode tentar forjar mensagens, mas também pode tentar silenciar o canal que deveria funcionar como última linha de defesa em situações de emergência.
Esse tipo de problema evidencia que a proteção do sistema de alertas não pode se limitar à infraestrutura de rede da Defesa Civil ou das operadoras. É necessário um ecossistema seguro do começo ao fim, que inclui protocolos, softwares intermediários, aplicativos, sistemas operacionais e até o comportamento de fabricantes de aparelhos.
Impacto na confiança pública e risco de “efeito lobo”
Especialistas alertam que a credibilidade dos sistemas de alerta é um ativo crítico. Uma única ocorrência de mensagem falsa já é capaz de causar confusão, pânico ou, no mínimo, descrédito. Se ataques desse tipo se tornarem frequentes, a população pode começar a ignorar avisos legítimos, acreditando que se trata de mais uma falsificação ou falha do sistema.
Esse fenômeno é frequentemente comparado ao “efeito lobo”, em referência à famosa fábula em que, após vários falsos alarmes, ninguém acredita no aviso verdadeiro – com consequências trágicas. Em situações de enchentes, rompimento de barragens, tempestades severas ou deslizamentos iminentes, poucos minutos de atraso ou a simples desatenção da população a um alerta legítimo podem resultar em perdas de vidas.
Por isso, incidentes como o de hoje exigem não apenas respostas técnicas, mas também estratégias de comunicação transparente. As autoridades precisam explicar de forma clara o que ocorreu, o que foi comprometido, quais medidas estão sendo tomadas e como o cidadão deve se comportar diante de novos alertas. A falta de clareza alimenta teorias, medo difuso e menor cooperação em momentos de crise real.
Caminhos para endurecer a segurança dos alertas de emergência
Reforçar a segurança do sistema passa por uma combinação de medidas técnicas, regulatórias e operacionais. Entre os pontos frequentemente citados por especialistas estão:
– Implementação de autenticação criptográfica fim a fim entre a origem do alerta (Defesa Civil) e o dispositivo móvel, permitindo ao celular verificar se a mensagem veio de uma fonte oficialmente confiável.
– Segmentação rígida de acessos ao Centro de Broadcast Celular, com controles de privilégio mínimos, monitoramento contínuo, autenticação multifator e revisão periódica de credenciais e perfis de usuário.
– Auditoria técnica independente e recorrente das plataformas envolvidas, com testes de invasão (pentests) específicos para o fluxo de alertas de emergência.
– Cooperação estreita entre órgãos públicos, operadoras de telecomunicações e fabricantes de dispositivos para alinhamento de padrões de segurança, atualização de firmware e correções rápidas de vulnerabilidades.
Além disso, a criação de logs detalhados e imutáveis das ações relacionadas a disparos de alertas – incluindo quem autorizou, de onde partiu, quais parâmetros foram usados e em que momento – permite rastrear incidentes com mais precisão e atribuir responsabilidades, além de facilitar a investigação por autoridades.
O papel das operadoras e da regulação
As operadoras de telecom assumem um papel central, pois são o canal físico que transporta as mensagens da Defesa Civil até os celulares. Isso significa que qualquer política de segurança robusta precisa envolver diretamente essas empresas, desde a configuração das estações rádio-base até a gestão de chaves criptográficas, se adotadas.
Reguladores do setor, por sua vez, podem estabelecer requisitos mínimos de segurança para o uso de Cell Broadcast em serviços de alerta público, incluindo testes obrigatórios, redundância de sistemas, planos de contingência e prazos máximos para correção de falhas descobertas. A definição de um padrão nacional de segurança, em alinhamento com boas práticas internacionais, tende a reduzir discrepâncias e pontos cegos.
Também é importante avaliar a coexistência entre canais de alerta. Embora o Cell Broadcast seja extremamente eficiente em termos de rapidez e capilaridade, ele pode ser complementado por sirenes físicas, mensagens em rádio e TV, aplicativos oficiais e outros meios. Essa abordagem multicanal reduz a dependência de um único sistema e aumenta a resiliência diante de ataques cibernéticos ou falhas técnicas.
Lições internacionais e necessidade de modernização
Diversos países utilizam tecnologias similares para emitir alertas de emergência, e incidentes – ainda que, em muitos casos, por erro humano e não por ataque – já mostraram o potencial de caos que uma mensagem equivocada pode causar. Esses episódios internacionais impulsionaram debates sobre aperfeiçoamento de interfaces, reforço de autenticação, simulações seguras e revisão de fluxos de aprovação de alertas.
No contexto local, o incidente expõe a urgência de modernizar o ecossistema de alertas, incorporando requisitos de segurança que muitas vezes não estavam no horizonte quando o padrão foi concebido. O Cell Broadcast foi idealizado em uma época em que ameaças cibernéticas sofisticadas eram menos comuns e em que a noção de spoofing em larga escala não fazia parte do desenho inicial.
Hoje, com a disseminação de equipamentos SDR, conhecimento técnico acessível e grupos especializados em ataques a infraestruturas críticas, a suposição de confiança implícita deixou de ser aceitável. A modernização passa por revisar especificações, criar mecanismos de verificação e estabelecer camadas adicionais de proteção capazes de conviver com a necessidade de rapidez dos alertas.
Educação do usuário e boas práticas individuais
Embora a principal responsabilidade pela segurança do sistema recaia sobre governos, operadores e fabricantes, o usuário final também pode adotar algumas boas práticas. Manter o sistema operacional e aplicativos sempre atualizados reduz a exposição a falhas conhecidas, como a mencionada vulnerabilidade em Android. Desconfiar de mensagens que claramente não fazem sentido no contexto de um alerta (como termos isolados, sem instruções) e buscar confirmação em canais oficiais pode ajudar a filtrar alguns casos de abuso.
No entanto, é importante ressaltar: o objetivo não é transferir a responsabilidade da segurança para o cidadão, mas sim equipá-lo com informações para reagir melhor diante de situações estranhas. Em um sistema ideal, a probabilidade de um alerta falso deveria ser extremamente baixa. Até que esse patamar seja alcançado, transparência e orientação são fundamentais.
Desafio de longo prazo: proteger a infraestrutura crítica digital
O ataque ao “Defesa Civil Alerta” se insere em um contexto mais amplo de aumento de ameaças contra infraestruturas críticas digitais – aquelas que, quando comprometidas, geram impacto direto na segurança, na economia ou na vida da população. Serviços de energia, saneamento, transporte, saúde e comunicação estão cada vez mais interconectados e, portanto, mais expostos a ataques coordenados.
A proteção dessa malha exige um esforço contínuo: adoção de normas internacionais de segurança da informação, criação de centros de resposta a incidentes especializados, investimentos em inteligência e fortalecimento de equipes técnicas públicas. Episódios como o da madrugada de 20 de junho funcionam como um alerta – desta vez, não para uma tempestade ou enchente, mas para a necessidade de blindar os próprios sistemas que deveriam ajudar a salvar vidas em momentos críticos.
Enquanto dura a investigação, resta a certeza de que a confiança da população nesse tipo de comunicação precisa ser reconstruída com ações concretas. Sem isso, um dos instrumentos mais potentes de proteção civil do país corre o risco de se tornar ineficaz justamente quando for mais necessário.