Portal do Governo de Minas Gerais e Universidades são alvos de cybercriminosos

Cibercriminosos têm mirado o Portal do Governo de Minas Gerais e instituições de ensino superior do estado com ataques que variam desde tentativas de phishing até exploração de vulnerabilidades em sistemas web. A escalada de incidentes acendeu o alerta em órgãos públicos e universidades, que precisam lidar com o desafio de proteger dados sensíveis de milhões de cidadãos e alunos.

Neste artigo, analisamos as principais táticas usadas pelos atacantes, os impactos dessas invasões e as medidas que podem ser adotadas para reforçar a segurança digital.

Como os cibercriminosos atacam?

Os métodos mais comuns incluem engenharia social, campanhas de phishing direcionado, exploração de falhas em sistemas legados e ransomware. Nos casos envolvendo o portal do governo mineiro, os criminosos frequentemente tentam obter credenciais de servidores públicos por meio de e-mails fraudulentos que simulam comunicados oficiais, utilizando técnicas de spear-phishing para aumentar a taxa de sucesso. Uma vez que uma conta é comprometida, os atacantes podem se mover lateralmente dentro da rede governamental, acessando bases de dados sigilosas e sistemas internos.

Já nas universidades, a presença de redes acadêmicas abertas e sistemas descentralizados cria uma superfície de ataque ampla. Laboratórios de pesquisa, plataformas de ensino a distância e portais acadêmicos são frequentemente negligenciados em termos de atualizações de segurança, tornando-se alvos fáceis. Os atacantes empregam varreduras automatizadas em busca de vulnerabilidades conhecidas, como as listadas em bases públicas de CVEs. Uma vez identificada uma falha não corrigida, instalam backdoors, roubam dados de pesquisa ou utilizam a máquina como ponto de partida para ataques laterais.

Outra tática recorrente é o uso de ransomware. Criptografar servidores críticos interrompe serviços essenciais e força as instituições a pagar resgates na esperança de recuperar informações rapidamente. A ausência de backups isolados torna a recuperação ainda mais difícil.

Principais alvos em Minas Gerais

O Portal do Governo de Minas Gerais concentra serviços essenciais como emissão de documentos (RG, CNH), consultas fiscais, acesso a programas sociais (Bolsa Família, auxílio emergencial) e sistemas de saúde pública. Uma eventual paralisação ou vazamento de informações pode causar prejuízos incalculáveis à administração pública e aos cidadãos. Dados de contribuintes, servidores e beneficiários de políticas sociais ficam expostos quando a segurança é rompida.

As universidades estaduais e federais mineiras — como UFMG, UFV, UFU, UFJF, UFSJ, UNIFAL, CEFET-MG e muitas outras — armazenam dados acadêmicos, produções científicas e, em muitos casos, informações de saúde de alunos e servidores. Ataques bem-sucedidos já resultaram em perda de pesquisas de anos, interrupção de semestres letivos, exposição de dados pessoais de dezenas de milhares de pessoas e prejuízos financeiros com recuperação de sistemas.

Além disso, as instituições de ensino costumam manter parcerias com órgãos públicos, o que amplia a cadeia de risco: um ataque a uma universidade pode ser a porta de entrada para comprometer sistemas governamentais interconectados.

Consequências dos ataques

As consequências de uma invasão bem-sucedida vão além do vazamento de dados. Entre os impactos mais graves estão:

• Interrupção de serviços públicos e acadêmicos: portais saem do ar, sistemas de matrícula param, emissão de documentos fica suspensa.
• Perda de credibilidade das instituições: a confiança dos cidadãos e alunos é abalada, afetando a imagem do governo e das universidades.
• Gastos com recuperação de sistemas e multas regulatórias: a LGPD prevê sanções que podem chegar a 2% do faturamento da instituição pública ou privada.
• Exposição de informações sigilosas: dados de alunos, servidores e cidadãos — como CPF, endereço, histórico médico e informações bancárias — podem ser comercializados na dark web.
• Potencial uso dos dados para golpes financeiros e roubo de identidade: criminosos utilizam as informações para aplicar fraudes em nome das vítimas.
• Perda de propriedade intelectual: pesquisas científicas, patentes e projetos inovadores podem ser roubados ou destruídos.

Vulnerabilidades comuns exploradas

As falhas mais exploradas nesse tipo de ataque incluem:

• Sistemas desatualizados: softwares sem patches de segurança, como versões antigas de WordPress, JBoss, Apache e sistemas legados de mainframe.
• Configurações incorretas: servidores com permissões excessivas, bancos de dados acessíveis publicamente sem autenticação adequada.
• Credenciais fracas ou reutilizadas: senhas padrão ou compartilhadas entre sistemas facilitam a entrada inicial.
• Falta de segmentação de rede: uma vez dentro, o atacante consegue se mover livremente entre setores da instituição.
• Aplicativos web mal protegidos: falhas como SQL Injection, XSS e upload de arquivos maliciosos são rotineiramente exploradas.

Medidas de proteção

Para mitigar os riscos, especialistas recomendam uma abordagem em camadas:

• Treinamento contínuo: funcionários públicos, professores e alunos devem ser capacitados para reconhecer tentativas de phishing e evitar clicar em links suspeitos. Simulações periódicas ajudam a criar memória muscular.
• Autenticação multifator (MFA): a adoção de MFA reduz drasticamente a chance de acesso não autorizado, mesmo que senhas sejam comprometidas. Deve ser obrigatória para acesso a sistemas críticos.
• Atualização de sistemas: manter softwares, plugins, CMS e sistemas operacionais atualizados corrige vulnerabilidades conhecidas. Um calendário de patch management é essencial.
• Backups regulares off-line: cópias de segurança armazenadas fora da rede principal garantem a recuperação de dados em caso de ransomware. Testes de restauração devem ser realizados periodicamente.
• Monitoramento de segurança: ferramentas de detecção de intrusão (IDS/IPS), análise de logs e SIEM ajudam a identificar atividades anômalas precocemente.
• Segmentação de rede: isolar sistemas críticos das redes acadêmicas e administrativas limita o raio de ação de um invasor.
• Política de senhas fortes e gerenciadores de senhas: evitar reutilização e implementar trocas periódicas com critérios de complexidade.
• Resposta a incidentes: ter um plano de resposta documentado e testado, com equipe treinada para conter e erradicar ameaças rapidamente.

Ações coordenadas entre equipes de TI, a alta direção e, quando cabível, a Autoridade Nacional de Proteção de Dados (ANPD) são fundamentais para criar uma cultura de segurança robusta. A Lei Geral de Proteção de Dados (LGPD) exige que as instituições adotem medidas técnicas e administrativas para proteger dados pessoais, sob pena de sanções severas.

Perguntas Frequentes

O que fazer se eu receber um e-mail suspeito?

Não clique em links nem faça download de anexos. Encaminhe o e-mail para o setor de segurança da instituição. Se possível, denuncie também à plataforma de phishing do governo ou ao Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br).

Como saber se minha senha foi vazada?

Consulte serviços como “Have I Been Pwned” ou sites similares que informam se seu e‑mail ou senha aparecem em vazamentos conhecidos. Troque imediatamente a senha se houver algum alerta e ative a autenticação multifator em todos os serviços que oferecerem.

Universidades estão mais vulneráveis que órgãos governamentais?

Ambientes acadêmicos costumam ser mais abertos e descentralizados, o que pode aumentar a superfície de ataque. No entanto, órgãos públicos também enfrentam desafios devido à complexidade dos sistemas herdados e à multiplicidade de fornecedores. Ambos precisam de atenção constante.

O ransomware ainda é uma ameaça relevante?

Sim. Apesar da maior conscientização, o ransomware continua sendo uma das principais ameaças, especialmente contra instituições que não mantêm backups isolados e atualizados. As variantes mais modernas também exfiltram dados antes de criptografá-los, aumentando a pressão sobre as vítimas.

Posso confiar apenas em antivírus?

Antivírus é uma camada importante, mas não suficiente. A segurança depende de uma combinação de atualizações, treinamento, MFA, segmentação de rede, backups e monitoramento ativo. Nenhuma ferramenta isolada protege contra todas as ameaças.

A LGPD se aplica a instituições públicas?

Sim. A Lei Geral de Proteção de Dados se aplica a órgãos públicos e privados que tratam dados pessoais. As instituições públicas devem nomear um encarregado (DPO), manter registros de tratamento e adotar medidas de segurança, sob risco de sanções da ANPD.

Como denunciar um incidente cibernético?

Entre em contato com o CERT.br (cert.br) ou a Polícia Federal. Instituições públicas também podem acionar o Gabinete de Segurança Institucional (GSI) da Presidência da República. Quanto mais rápido o reporte, maiores as chances de mitigar os danos.