Em 8 de abril de 2026, um ataque à cadeia de suprimentos da Dígitro Tecnologia resultou na exposição de aproximadamente 3,39 terabytes de dados, segundo o material divulgado publicamente. O conteúdo inclui bancos de dados, código-fonte e arquivos internos ligados a soluções de inteligência e interceptação legal. O acervo foi disponibilizado para download na plataforma Distributed Denial of Secrets, a DDoSecrets.
O que torna esse caso diferente de um vazamento comum não é o volume. É quem foi atingido. A Dígitro é a empresa por trás do Sistema Guardião, usado por forças policiais brasileiras em interceptações telefônicas autorizadas judicialmente, e fornece soluções de monitoramento para mais de 150 instituições governamentais e órgãos de segurança pública.
Em outras palavras: vazou a planta baixa de parte da infraestrutura de investigação do Estado brasileiro.
Por que um vazamento de fornecedor é pior que um vazamento direto
Quando uma empresa sofre um incidente, o dano tende a ficar contido no perímetro dela. Quando o alvo é um fornecedor central, o dano se multiplica pelo número de clientes. É a diferença entre arrombar uma casa e roubar a cópia da chave mestra do condomínio.
Já tratei desse padrão em Ataques em Cadeia de Suprimentos Digitais: O Elo Mais Fraco da TI Brasileira. O caso Dígitro é a materialização exata daquele cenário, e em um setor onde o custo do erro não se mede em prejuízo financeiro, e sim em investigações comprometidas e pessoas expostas.
Estimativas de mercado apontam que ataques a fornecedores já representam cerca de 30% das violações globais. A lógica do atacante é simples e economicamente racional: comprometer um alvo para alcançar centenas.
As três CVEs registradas
Em 21 de maio de 2026, o CTIR Gov, o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo, publicou a Recomendação 05/2026, listando três vulnerabilidades em produtos da fabricante:
| Identificador | Descrição | Impacto prático |
|---|---|---|
| CVE-2025-4526 | Falha no componente Dígitro NGC Explorer que permite a exposição de senhas por falta de mascaramento | Credenciais legíveis na interface, colhidas por quem já tem acesso à tela ou a capturas dela |
| CVE-2025-4527 | Vulnerabilidade client-side que permite a um atacante obter informações sensíveis remotamente | Extração de dados sem necessidade de comprometer o servidor |
| CVE-2025-4528 | Expiração de sessão insuficiente, permitindo bypass de mecanismos de segurança | Sessões que sobrevivem além do que deveriam, ampliando a janela de sequestro |
Repare no conjunto. Isoladamente, nenhuma dessas falhas é espetacular. Encadeadas, formam um caminho coerente: uma senha exposta na interface, uma via de extração remota de informação e uma sessão que não expira quando deveria. É assim que a maioria dos comprometimentos reais acontece, por composição de defeitos medianos, não por uma única falha cinematográfica.
Vale o contraste com a análise que fiz em CVE-2025-21042 e LANDFALL: lá, um zero-day sofisticado sustentava uma operação de spyware comercial. Aqui, o resultado equivalente sai de higiene básica malfeita.
O que o CTIR Gov recomendou
As orientações oficiais foram organizadas em três horizontes:
- Imediato: órgãos que utilizam o Dígitro NGC Explorer devem aplicar os patches imediatamente ou isolar as interfaces de configuração da internet pública.
- Curto prazo: auditoria de credenciais e rotação imediata de segredos corporativos.
- Longo prazo: monitoramento contínuo e políticas de controle de execução, como WDAC ou AppLocker.
Complementarmente, foram recomendados o bloqueio de acessos remotos, a validação humana da integridade dos arquivos recebidos por canais oficiais e o monitoramento de comunicações anômalas.
O item da validação humana merece destaque. Quando o código-fonte de um fornecedor vaza, a preocupação deixa de ser apenas o que o atacante leu e passa a ser o que ele consegue escrever de forma convincente. Atualização falsa que parece legítima é o desdobramento natural de um vazamento de código.
O ângulo da inteligência: dados que envelhecem mal
Sistemas de interceptação guardam dois tipos de informação, e os dois são sensíveis por motivos distintos. O primeiro é o conteúdo interceptado. O segundo, muitas vezes subestimado, é a estrutura: quem opera, quais órgãos usam, como os alvos são cadastrados, qual a arquitetura de integração.
O segundo tipo não perde valor com o tempo do mesmo jeito que uma senha perde. Uma senha é trocada em minutos. Um desenho de arquitetura e uma lista de instituições integradas continuam úteis para quem quiser mapear capacidades ou identificar pontos cegos por anos.
É o mesmo raciocínio que desenvolvi em Inteligência Exposta: Como Agentes e Policiais Estão Sendo Alvos da Cibercriminalidade. E, para quem trabalha com apuração, vale lembrar que material publicado em plataformas como a DDoSecrets entra no radar de técnicas de OSINT quase imediatamente, com todas as implicações legais e éticas que isso carrega.
Checklist para quem opera sistemas de fornecedor crítico
Independentemente de usar ou não produtos da Dígitro, o caso serve de roteiro de verificação:
- Inventarie a exposição. Liste quais fornecedores têm acesso à sua rede, com qual nível de privilégio e por qual canal. A maioria das organizações não sabe responder isso de cabeça.
- Tire consoles de administração da internet. Interface de configuração acessível publicamente é o cenário que transforma uma CVE mediana em incidente.
- Rotacione segredos partindo do pior caso. Se o código-fonte do fornecedor vazou, trate credenciais embutidas, chaves de integração e tokens como comprometidos.
- Valide atualizações por fora do canal. Confira hash e assinatura, e confirme por um segundo canal antes de aplicar pacote de fornecedor afetado.
- Monitore o comportamento, não só a assinatura. Comunicação anômala de um sistema legítimo é o sinal que sobra quando o binário é confiável mas o uso não é. Vale o que discuti em Monitoramento Avançado com XDR no SOC.
- Ensaie o cenário. Simule a pergunta: se este fornecedor for comprometido amanhã, o que exatamente eu preciso fazer nas primeiras 24 horas?
O que fica
O caso Dígitro não é uma história sobre uma empresa específica. É a demonstração, em escala nacional, de um problema estrutural que venho apontando há tempos e que resumi em O Brasil Está Perdendo a Guerra Contra o Cibercrime: concentramos funções críticas em poucos fornecedores, auditamos pouco esses fornecedores e descobrimos a dependência apenas quando ela quebra.
Três CVEs de severidade discreta, um fornecedor central e 3,39 TB depois, a conta chega para mais de 150 instituições ao mesmo tempo.
Fontes: CTIR Gov, Recomendação 05/2026, publicada em 21 de maio de 2026; reportagens sobre o incidente publicadas por ICL Notícias e SEGS; catálogo público da Dígitro sobre a Plataforma Guardião. Os números de volume de dados e a data do ataque refletem o que foi divulgado publicamente até a data desta publicação.