Um grupo autodenominado BLCKORDER desfigurou sites de órgãos públicos municipais do Espírito Santo em ataques sequenciais nesta semana. Na quinta-feira caíram o portal da Câmara Municipal de Vitória e o da Prefeitura de Ibatiba; na sexta, o da Câmara de Pinheiros.
O que chama atenção não é o número de sites fora do ar. É como um grupo derrubou vários de uma vez.
Um fornecedor, dezenas de prefeituras
O vetor apontado é a Ágape Consultoria, empresa privada que desenvolve e hospeda portais e sistemas de gestão para prefeituras capixabas.
Esse é o modelo que a maior parte dos municípios brasileiros usa. Prefeitura pequena não tem equipe de tecnologia própria, então contrata uma empresa regional que cuida de tudo — site, hospedagem, sistema de folha, portal da transparência. É mais barato e funciona.
Até o dia em que a empresa é comprometida. Aí não cai um município: caem todos os que dependem dela, ao mesmo tempo. É o que a área de segurança chama de ataque à cadeia de suprimentos, e aqui ele aparece aplicado ao setor público municipal.
A Ágape afirmou ter acionado seu protocolo de segurança e tirado o próprio site do ar por precaução. Disse ainda não ter concluído o diagnóstico.
O que os invasores dizem, e o que está confirmado
Aqui é preciso separar com cuidado, porque quase tudo que circula veio da boca de quem atacou.
O grupo afirma ter invadido mais de 20 prefeituras e câmaras e ter acessado os servidores centrais da fornecedora, exfiltrando dados confidenciais. Esse número é declaração dos próprios invasores, deixada nas páginas desfiguradas. Apenas três a quatro órgãos tiveram a queda confirmada de forma independente.
E há uma distinção técnica que a cobertura tem atropelado: desfigurar um site não é a mesma coisa que roubar um banco de dados. Trocar a página inicial exige acesso ao servidor de hospedagem; acessar cadastros de cidadãos exige entrar em outro sistema. Até agora, não há confirmação de vazamento de dados pessoais.
A Câmara de Vitória nega. Em nota, disse que o funcionamento administrativo e legislativo seguiu normal e que os sistemas internos são separados da hospedagem do site institucional, com servidores e bancos de dados íntegros. A Câmara de Pinheiros, procurada, não informou se houve comprometimento.
A autoria também é autoproclamada — os nomes foram deixados na própria página, sem qualquer atribuição forense.
O recado político, e o que ele não prova
As mensagens deixadas nos sites tinham teor político. Numa delas, o grupo escreveu que não é “um coletivo maléfico”, mas que estaria “relatando o descaso do Estado com o cidadão brasileiro, principalmente online e com seus dados”, e concluiu: “este é só o começo das eleições de 2026”.
Na Câmara de Vitória as frases eram mais diretas, com ataques genéricos a políticos e menção a salários.
A ameaça eleitoral, porém, é retórica dos invasores. Nenhum sistema eleitoral foi citado em qualquer das ocorrências, e a urna e a apuração operam em infraestrutura totalmente separada dos portais municipais — não é o mesmo servidor, não é a mesma rede, não é a mesma empresa.
O grupo acusou ainda a fornecedora de cobrar R$ 30 mil de cada prefeitura por um serviço sem segurança. É alegação de quem atacou, sem contrato verificado.
O tamanho do problema, com dado oficial
Fora do caso específico, os números disponíveis ajudam a dimensionar — desde que se saiba o que cada um mede.
O painel do Gabinete de Segurança Institucional registrou 6.774 incidentes cibernéticos em órgãos da administração pública federal até o começo de junho deste ano — cerca de 45 por dia. Foram mapeadas ainda cerca de 14 mil vulnerabilidades, em 3.184 sistemas.
Convém a ressalva: esses dados são da esfera federal. Não medem prefeituras, e não servem para provar nada sobre municípios.
Um levantamento da imprensa especializada indica que municípios responderam por 26% dos incidentes registrados num painel setorial, contra 14% no ciclo anterior. É apuração privada, sem metodologia pública detalhada — indicativo, não estatística.
Não é o primeiro, e não deve ser o último
O site da Câmara de Cariacica, também no Espírito Santo, foi invadido em julho — menos de um mês antes. Em Goiás, ataques a sete prefeituras causaram prejuízos milionários.
A pergunta que segue aberta é a que mais importa ao cidadão: houve ou não acesso a bancos de dados com informações pessoais? Se houve, a Lei Geral de Proteção de Dados obriga a notificação à autoridade nacional e às pessoas afetadas.
Até agora não há manifestação pública da autoridade de proteção de dados, da Polícia Civil capixaba ou da Polícia Federal sobre o caso. A investigação técnica segue sem resultado divulgado, e o diagnóstico da fornecedora não foi concluído.
