Um grupo que se apresenta como “bl33dr00t” publicou em um fórum clandestino, no sábado (7), um anúncio em que diz ter invadido sistemas internos da Polícia Civil de São Paulo. Segundo a postagem, os invasores conseguiram privilégio de administrador em servidores do Instituto de Identificação Ricardo Gumbleton Daunt (IIRGD), na base Phoenix e no SharePoint da corporação. O pacote, com cerca de 22 mil credenciais que eles afirmam ter extraído, está à venda por US$ 40 mil, uns R$ 220 mil na conversão direta.
A Secretaria da Segurança Pública (SSP) respondeu que técnicos da polícia estão checando os sistemas apontados no anúncio e que, por enquanto, nenhuma entrada não autorizada nas bases foi identificada. A pasta diz que continua analisando os registros de acesso e que abriu inquérito para investigar o caso.
O que há nessas bases
O IIRGD cuida da identificação civil e criminal no estado. Guarda documentos, antecedentes e biometria, e faz em média 5 milhões de atendimentos por ano. O Phoenix reúne dados de pessoas indiciadas ou procuradas, com fotos, digitais e gravações de voz. Já o SharePoint é a ferramenta da Microsoft que a polícia usa para trocar arquivos internamente.
O grupo também diz ter mapeado endpoints de outros setores: Corregedoria Geral, DOPE, DIPOL e sua Divisão de Tecnologia da Informação, DHPP, DAP e DECAP, além dos sistemas de Registro Digital de Ocorrências (RDO) e de Registro Digital de Incidentes (RDI). Endpoint, nesse contexto, provavelmente significa endereços internos de serviços restritos, que pedem login e não aparecem no Google ou no Bing.
O que dá para confirmar
Cinco capturas de tela acompanham o anúncio. Elas mostram ferramentas que teriam sido usadas na invasão e telas que correspondem, de fato, aos sistemas citados. Só que ver uma tela interna não prova controle administrativo, nem que senhas ou bancos de dados saíram de lá. O grupo não respondeu aos pedidos de contato e não apresentou outra evidência.
Se o vazamento for real, o estrago é maior do que o de uma loja online. Biometria não se troca como senha: uma digital exposta continua exposta para sempre. Registros de investigação podem alimentar golpes, extorsão ou pressão sobre vítimas e testemunhas. E credenciais válidas abririam caminho para acessos discretos à rede, com risco de registros alterados ou apagados e de serviços fora do ar.
Para o morador de São Paulo, não existe ação prática imediata, porque ninguém consegue trocar os próprios dados biométricos ou antecedentes guardados pelo estado. O cuidado possível é desconfiar de qualquer contato que cite boletim de ocorrência ou investigação e peça pagamento ou dados pessoais.
Até a noite de segunda-feira (9), a SSP não havia confirmado nenhuma das alegações do grupo, e o inquérito segue em andamento.
