Quase toda semana aparece um anúncio de vazamento gigantesco: milhões ou bilhões de registros, o nome de uma organização conhecida, um número que vira manchete. O impulso é tratar tudo como fato consumado. Mas quem investiga a sério sabe de uma distinção que o barulho costuma atropelar: a existência de um anúncio não prova a existência de um incidente.
Este texto é um guia para ler esses anúncios com a cabeça de um investigador, separando o que foi alegado do que foi comprovado. Não para desconfiar de tudo por esporte, mas para não sair correndo atrás de fantasma, nem ignorar um alerta real.
Dois casos recentes, a mesma lição
O momento oferece bons exemplos. Em um deles, um grupo afirmou possuir uma quantidade enorme de registros de uma grande empresa e cobrou um resgate alto, ao mesmo tempo em que admitia não ter analisado o material, não saber quantas pessoas distintas estavam ali, e estar apenas contando linhas de um banco de dados. Contar linhas não é contar vítimas: um mesmo indivíduo pode aparecer muitas vezes, e linhas repetidas ou vazias incham o total.
Em outro, mais próximo de nós, circulou a alegação de que documentos de órgãos públicos brasileiros teriam vazado, com arquivos supostamente disponibilizados por um ator anônimo em um fórum. Os próprios pesquisadores que sinalizaram o alerta foram claros: não conseguiram confirmar invasão da infraestrutura, nem verificar a autenticidade, a origem ou a atualidade dos arquivos. Até a publicação, não havia confirmação oficial. Ou seja: havia uma alegação pública, e apenas isso, ainda à espera de verificação.
Por que a distinção importa
Tratar alegação como fato tem custo real. Gera pânico desnecessário, desgasta a reputação de quem talvez nem tenha sido comprometido, e desvia energia de resposta para um alvo que pode não existir. Do outro lado, ignorar toda alegação também é perigoso, porque parte delas é verdadeira. O trabalho é justamente não cair em nenhum dos dois extremos.
É o mesmo espírito que discuti em o desafio da atribuição no caso Sony Pictures: a evidência técnica sustenta menos do que a manchete gostaria, e o investigador honesto para exatamente onde a prova para.
Um roteiro para avaliar um anúncio
Diante de um anúncio de vazamento, algumas perguntas ajudam a separar o joio do trigo:
| Pergunta | O que ela revela |
|---|---|
| Há amostra verificável? | Alegação sem qualquer prova vale menos que uma com dado conferível |
| O número conta vítimas ou linhas? | Contagem de registros infla fácil e não equivale a pessoas afetadas |
| A origem foi confirmada? | Ter documentos de uma organização não prova que a rede dela caiu |
| Há confirmação independente? | A palavra do suposto atacante não é prova; a checagem de terceiros pesa |
| O dado é atual ou reciclado? | Muito anúncio recicla vazamento antigo como se fosse novo |
Repare que nenhuma dessas perguntas exige tecnologia avançada. Exige a disciplina de não aceitar a narrativa pronta, a mesma que sustenta a cadeia de custódia: cada afirmação precisa de lastro.
Por que os anúncios exageram
Há um incentivo por trás do exagero. Quem anuncia um vazamento, muitas vezes, quer vender o dado, pressionar a vítima a pagar, ou simplesmente ganhar notoriedade. Números redondos e enormes servem a todos esses fins. O tamanho declarado é, com frequência, marketing do crime, não medida honesta. Contar linhas e chamá-las de vítimas é parte desse teatro.
Ceticismo não é negação
O ponto deste guia não é duvidar de tudo, e sim exigir prova na medida da afirmação. Uma alegação extraordinária pede evidência extraordinária. Enquanto ela não vem, o correto é tratar o caso como o que ele é: uma alegação sob apuração, nem descartada, nem confirmada.
Essa postura serve ao leitor e serve à organização citada. Para o público, evita pânico e boato. Para quem foi apontado, cobra a apuração séria em vez da condenação instantânea. E, para todo mundo, mantém viva a distinção mais importante e mais ignorada nessa área: entre o que foi dito e o que foi provado. Quem guarda essa distinção lê a próxima manchete de mega vazamento com a calma de quem sabe que anúncio não é, por si só, incidente. Ler assim é o começo de responder bem.