TheGentlemen reivindica intranet federal — governo silencia

O TheGentlemen é um grupo RaaS surgido em meados de 2025, originado de uma disputa de pagamento com o Qilin, e que escalou com velocidade sem precedente no setor: atingiu o volume de vítimas que levou 12 meses ao Akira e 18 ao Qilin em apenas cinco meses de operação. O grupo opera com split de 90% para afiliados, toolkit multiplataforma e o framework próprio GentleKiller, que usa variantes BYOVD para terminar processos de EDR em nível de kernel. O Brasil aparece entre os seis países com maior volume de vítimas do grupo.

A reivindicação registra como alvo 'intranet.gov.br', descrita pelo próprio grupo como a rede interna corporativa e portal digital do governo federal brasileiro, com acesso restrito a servidores e ministérios. A infraestrutura subjacente é gerida por Serpro e Dataprev, duas estatais de TI que detêm dados críticos do Estado brasileiro — CPF, imposto de renda, benefícios sociais, comunicações administrativas. Um acesso real a esses sistemas teria impacto de primeira ordem.

O problema central deste relatório é a ausência de qualquer confirmação ou negação oficial. O governo federal brasileiro tem histórico documentado de silêncio inicial diante de incidentes graves: no caso do ataque ao SEI/ColaboraGov em julho de 2024, o MGI levou dias para admitir o 'grave incidente cibernético' e, mesmo assim, afirmou não ter detectado perda de dados — versão posteriormente contradita por e-mails internos que revelaram impacto mais amplo. O CTIR Gov, por sua vez, opera principalmente via notificações voluntárias dos próprios órgãos afetados, o que cria um viés estrutural de subnotificação.

O vetor técnico mais provável, se o ataque for real, é CVE-2024-55591 — bypass de autenticação em FortiOS/FortiProxy com CVSS 9.8, documentado como vetor primário do TheGentlemen em múltiplas análises independentes (Group-IB, ESET, Halcyon, Check Point). O grupo mantém inventário de ~14.700 dispositivos FortiGate já comprometidos globalmente e ~969 credenciais VPN FortiGate validadas por brute-force. Não temos informação pública sobre o uso específico de Fortinet na borda da infraestrutura Serpro/Dataprev, mas a escala do inventário do grupo torna o acesso via esse vetor estatisticamente plausível para qualquer organização com appliances FortiGate não remendados.

O ciclo operacional do TheGentlemen é double-extortion: nomeia a vítima publicamente, publica amostra de dados como prova, e libera o dataset completo caso o pagamento não seja efetuado. A listagem de 07-08-2026 não incluía amostra publicada — o que é consistente com a fase inicial do ciclo, não com um bluff. Grupos que fabricam reivindicações sem acesso real tendem a não escolher alvos que exigiriam prova técnica difícil de forjar (infra governamental federal). Dito isso, o TheGentlemen tem histórico de listar vítimas em lote — na mesma data foram listadas dezenas de organizações de múltiplos países — o que levanta a questão de triagem: este pode ser um acesso menor categorizado de forma mais impactante do que realmente é.

A contradição que persiste: a descrição da vítima no leak site parece gerada automaticamente (sem especificidade técnica sobre o que foi acessado), e não há hash, amostra ou arquivo publicado que permita verificação independente. Nenhum pesquisador externo confirmou dados consistentes com sistemas governamentais federais brasileiros até o fechamento deste relatório.

Se confirmado, um acesso real à intranet do governo federal brasileiro via Serpro ou Dataprev representaria exposição de comunicações administrativas internas, dados de processos eletrônicos (SEI) e potencialmente bases de identidade geridas por essas estatais. O alcance de servidores federais e ministérios seria direto. Sem confirmação oficial, o impacto operacional verificado é zero — nenhum serviço público ao cidadão relatou indisponibilidade no período. O impacto reputacional da reivindicação em si, especialmente a três meses das eleições gerais de outubro de 2026, é real independentemente da veracidade técnica do ataque.