A Agência Nacional do Cinema (Ancine) teve a tela de acesso do Sistema Ancine Digital (SAD) trocada por uma página de propaganda política e ofensas a nordestinos na segunda-feira (12/10). O ataque é do tipo deface (desfiguração): o invasor substitui o conteúdo exibido por um site pelo seu próprio. O SAD é a plataforma usada por servidores da agência e por produtoras, distribuidoras e outros profissionais do audiovisual para registrar obras, enviar documentos e fazer solicitações à Ancine.
A agência só se pronunciou dois dias depois, na noite de quarta-feira (14/10). Disse que o sistema foi restabelecido com melhorias de segurança e que não houve vazamento de dados. Até a publicação desta reportagem, ninguém havia assumido a autoria do ataque, e a Ancine não explicou como os invasores conseguiram alterar a página.
O que aparecia na tela
O print da página invadida, publicado pelo Metrópoles, mostra o endereço sad.ancine.gov.br/controleacesso/22.html na barra do navegador, ou seja, a página de controle de acesso (login) do sistema. Em vez do formulário de entrada, quem acessava o endereço via:
- um cabeçalho com a frase em inglês "You've been hacked" ("você foi hackeado") e, em letras vermelhas grandes, a ofensa "NORDESTINOS BURROS", seguida do lema "Deus, pátria e família";
- uma caixa no estilo de terminal de computador com o rótulo "STATUS: PWNED", gíria hacker para "dominado" ou "comprometido";
- mensagens em defesa do patrocínio de Dark Horse, cinebiografia de Jair Bolsonaro, e com acusações sem provas contra o presidente Lula;
- a ameaça de que universidades públicas "irão queimar", com xingamentos a "comunistas";
- declarações de apoio à "direita conservadora" e a frase "Glória ao Sul, aos EUA e a Israel";
- a alegação, também sem provas, de que, se o candidato Flávio Bolsonaro (PL) não vencer o segundo turno, as eleições terão sido manipuladas "com a China". A página terminava com "Help me EUA" ("me ajude, EUA").
Ao fundo, uma montagem mostrava Flávio Bolsonaro de óculos escuros e camisa da seleção brasileira, fazendo com a mão o gesto de arma. Ao lado, a deputada federal Júlia Zanatta (PL) aparecia segurando um chicote diante de um mapa do Nordeste pintado de vermelho. Não há informação que ligue Flávio Bolsonaro ou Júlia Zanatta ao ataque. O uso da imagem deles na página não indica envolvimento.
Cronologia
- Segunda-feira (12/10), por volta das 12h: usuários percebem a página alterada. Segundo a Folha de S.Paulo, as mensagens ficaram no ar por cerca de uma hora. O conteúdo chegou a ser registrado pelo Internet Archive (Wayback Machine).
- Mesmo dia: a Associação das Servidoras e dos Servidores da Ancine (Aspac) avisou a equipe de tecnologia da informação (TI) da agência e informou nas redes sociais que a página havia sido retirada do ar. Depois disso, o endereço passou a exibir uma mensagem de erro. Procurada pela imprensa, a Ancine não se manifestou naquele dia.
- Quarta-feira (14/10): o sistema volta a funcionar. À noite, a agência divulga nota sobre o caso.
O que diz a Ancine
Na nota, a Ancine afirma que, "além da pichação na tela inicial, não houve impacto no sistema ou violação de dados e informações". A agência diz que restabeleceu o SAD com melhorias para evitar novos ataques e que adotará as medidas necessárias para apurar o caso. Também reforça o compromisso com a segurança da informação, a proteção de dados e a continuidade dos serviços.
A nota não diz qual falha foi explorada, se houve registro de ocorrência policial nem se a Polícia Federal foi acionada. Também não informa se os dados enviados por usuários ao sistema nos dias anteriores foram auditados.
Por que o caso preocupa
Um deface costuma ser tratado como um ataque "de vitrine", feito para chamar atenção, e não para roubar informações. Mesmo assim, para trocar a página de login de um sistema, o invasor normalmente precisa conseguir gravar ou modificar arquivos no servidor que publica o site, ou na aplicação que gera essas páginas. Entre os caminhos mais comuns estão falhas em componentes desatualizados, senhas de administração vazadas ou fracas e funções de envio de arquivos mal configuradas.
Por isso, especialistas costumam recomendar que um órgão atingido faça mais do que restaurar a página original. É preciso verificar se o invasor deixou portas de entrada para voltar, como web shells (pequenos programas que dão controle remoto do servidor). Também é preciso revisar os registros de acesso (logs) e trocar as credenciais administrativas. No caso do SAD, a dúvida pesa ainda mais porque a página alterada era justamente a de login, por onde passam usuários e senhas de servidores e de empresas do setor. A Ancine afirma que não houve violação de dados, mas não detalhou como chegou a essa conclusão.
O contexto: Dark Horse e a eleição
O ataque ocorreu em meio à polêmica sobre Dark Horse, filme sobre a trajetória de Jair Bolsonaro que recebeu da Ancine o Registro de Obra Estrangeira (ROE). O financiamento da produção é alvo de investigação da Polícia Federal, e a estreia foi adiada para 2027, segundo o site Pipoca Moderna. A invasão também aconteceu a menos de duas semanas do segundo turno da eleição presidencial, marcado para 25 de outubro, o que explica o tom eleitoral das mensagens.
Com informações do Metrópoles, da Folha de S.Paulo e do Pipoca Moderna.
