Tesouro da Hungria sofre grave ataque com criptografia e roubo de dados
O Tesouro da Hungria foi alvo de um ataque cibernético de alta complexidade que combinou roubo de informações sensíveis e criptografia de arquivos internos. A investida, segundo informações da newsletter especializada Risky Biz e do veículo húngaro Telex, foi conduzida pelo mesmo criminoso responsável, no mês anterior, pela invasão e destruição do banco de dados de registros de terras da Romênia.
O alvo principal da ofensiva foi a área de Agricultura e Desenvolvimento Rural do Tesouro, conhecida pela sigla MVH. Parte dos dados extraídos durante o ataque já começou a aparecer à venda em fóruns clandestinos na dark web, indicando que o objetivo era claramente financeiro e que a operação foi planejada para maximizar o lucro com a revenda de informações sigilosas.
O responsável pelo ataque, que atua sob o pseudônimo de ByteToBreach, foi identificado pela empresa de segurança Kela como Zakaria Mahdjoub, residente em Oran, na Argélia. Em um primeiro momento, ele tentou minimizar o episódio, afirmando não conhecer a relevância dos dados obtidos. Porém, mais tarde admitiu que a intrusão foi deliberadamente executada com foco em ganho pessoal, alinhando-se a um padrão de atividades criminosas recentes voltadas à monetização de ataques.
De acordo com o Telex, a porta de entrada para a invasão teria sido um servidor Oracle WebLogic desatualizado, sem os patches de segurança mais recentes. Esse tipo de sistema é conhecido por ser alvo recorrente de grupos de ransomware quando não é devidamente mantido e monitorado. Pelas capturas de tela divulgadas pelo próprio invasor em ambientes da dark web, especialistas classificaram o incidente com gravidade máxima, nota 10 de 10, em termos de nível de acesso obtido ao ambiente interno do Tesouro.
As autoridades húngaras confirmaram a ocorrência do ataque à imprensa local e informaram que os sistemas comprometidos foram prontamente isolados. Diferentemente do que ocorreu na Romênia, o Tesouro afirma que não houve perda irreversível ou destruição de dados. Ainda assim, apurações citadas pela Risky Biz indicam que o episódio envolveu um processo de exfiltração de dados – ou seja, cópia e retirada de informações – seguido por um ataque de criptografia utilizando uma variante de ransomware descrita como “altamente volátil e frágil”.
Segundo comunicados oficiais, o Tesouro da Hungria sustenta que dados de cidadãos não foram impactados pelo incidente, reforçando que as informações afetadas estariam restritas a sistemas internos da área de Agricultura e Desenvolvimento Rural. A investigação está sendo conduzida em conjunto com o Instituto Nacional de Cibersegurança da Hungria, responsável por coordenar a resposta técnica e apoiar a contenção de possíveis novos vetores de ataque.
A autoridade húngara de proteção de dados já foi formalmente notificada, em linha com exigências regulatórias que obrigam órgãos públicos e empresas a comunicarem incidentes de segurança com risco potencial a informações pessoais. Em razão das análises em andamento e dos procedimentos de recuperação, alguns serviços eletrônicos do MVH permanecem com acesso parcial ou funcionamento limitado, o que também evidencia o impacto operacional de ataques desse tipo.
O caso expõe, mais uma vez, a dependência crítica de órgãos governamentais em sistemas de TI complexos, muitas vezes legados e difíceis de atualizar. A suposta exploração de um Oracle WebLogic sem correções recentes reforça um dos principais pontos de falha em segurança contemporânea: a gestão inadequada de patches e atualizações. Invasores costumam monitorar a divulgação de vulnerabilidades e, assim que uma brecha grave é publicada, passam a varrer a internet em busca de servidores ainda não corrigidos.
Além do vetor técnico, o episódio coloca em foco o perfil do atacante. Ao vincular o pseudônimo ByteToBreach a um indivíduo específico, a Kela fornece elementos que podem ser usados por autoridades de vários países para aprofundar investigações, cruzar dados de outros incidentes e tentar interromper cadeias de ataque recorrentes. O fato de o mesmo criminoso ter atingido, em curto intervalo de tempo, sistemas de dois países europeus diferentes demonstra um grau de ousadia e mobilidade típicos do cibercrime transnacional atual.
Do ponto de vista da defesa, ataques que combinam exfiltração e criptografia – o chamado modelo de dupla extorsão – tornam a gestão de crises mais delicada. Mesmo quando não há destruição definitiva de arquivos, como no caso romeno, a simples posse de cópias de dados sensíveis abre espaço para chantagem, venda em mercados ilegais e uso secundário em outras fraudes. Ao mesmo tempo, a criptografia interna paralisa operações e pressiona a vítima a negociar rapidamente, ainda que isso vá contra recomendações de órgãos de segurança.
O Tesouro da Hungria, ao afirmar que não houve impacto sobre dados de cidadãos, tenta conter danos reputacionais e reduzir o risco de pânico entre a população. Ainda assim, a permanência de serviços eletrônicos parcialmente indisponíveis mostra que o processo de restauração e verificação é minucioso: autoridades precisam garantir que sistemas recuperados estejam limpos, livres de backdoors e com medidas adicionais de monitoramento antes de retomarem o funcionamento pleno.
Esse incidente também ilustra a crescente sofisticação dos atacantes na escolha de alvos. Em vez de focar apenas bancos ou grandes empresas privadas, criminosos vêm concentrando parte de seus esforços em órgãos públicos estratégicos, que administram bases de dados valiosas e, frequentemente, operam com estruturas tecnológicas antigas. Tesouros nacionais, cadastros fundiários, sistemas de benefícios e plataformas de pagamentos governamentais são particularmente atraentes porque reúnem grande volume de informações e, em muitos casos, não podem ficar indisponíveis por longos períodos.
Há, ainda, um componente regulatório importante. A rápida notificação à autoridade de proteção de dados, aliada à cooperação com o órgão nacional de cibersegurança, indica que o governo húngaro tenta seguir boas práticas de transparência e conformidade. Em cenários modernos de proteção de dados, falhas de segurança que não são devidamente reportadas podem gerar sanções adicionais – financeiras e políticas – além das consequências técnicas do ataque em si.
Para outros países e instituições, o episódio funciona como alerta. A combinação de um servidor crítico sem patch, um atacante motivado financeiramente e um ransomware volátil foi suficiente para comprometer uma área sensível do Tesouro de um Estado europeu. Programas de gestão de vulnerabilidades mais rígidos, auditorias periódicas em sistemas expostos à internet, testes de intrusão recorrentes e planos de resposta a incidentes bem ensaiados tornam-se, cada vez mais, pré-requisitos básicos para reduzir esse tipo de risco.
Também ganha relevância a discussão sobre segmentação de redes e princípios de “menor privilégio”. Se um atacante obtém acesso inicial a um servidor, a capacidade de se movimentar lateralmente dentro da infraestrutura e alcançar bancos de dados críticos depende de como essa rede está organizada e do nível de privilégios concedido a cada sistema e usuário. No caso húngaro, o fato de o incidente ter sido classificado como gravidade 10/10 evidencia que o invasor conseguiu um grau elevado de controle sobre o ambiente afetado.
Outro aprendizado que pode ser extraído diz respeito ao monitoramento de atividades anômalas. A exfiltração de dados geralmente envolve movimentações incomuns de volume de tráfego, conexões para destinos atípicos e padrões de acesso divergentes do uso rotineiro. Ferramentas de detecção comportamental, aliadas ao uso criterioso de inteligência artificial, podem aumentar a capacidade de identificar e conter invasões antes que elas avancem para etapas de criptografia e chantagem.
Por fim, o caso do Tesouro da Hungria reforça a percepção de que o cibercrime evoluiu para um modelo industrializado, com atores especializados em cada etapa – da descoberta de vulnerabilidades à negociação de resgates e revenda de dados. Enquanto isso, instituições públicas frequentemente enfrentam orçamentos restritos, burocracia para atualizar sistemas e escassez de profissionais experientes em segurança. O resultado é um descompasso que, se não for endereçado de forma estratégica, tende a tornar episódios como esse cada vez mais comuns e impactantes.