Serviços digitais do Nepal enfrentam exposição de dados, interrupções no mercado e lacunas na responsabilização

135 contas de e-mail do governo expõem um problema de segurança mais amplo

Pelo menos 135 contas de e-mail do domínio governamental nepal.gov.np foram identificadas em vazamentos de dados externos depois que o Centro Nacional de Segurança Cibernética aderiu ao Have I Been Pwned, um serviço que monitora credenciais expostas. Entre os endereços afetados estavam contas associadas ao Gabinete do Primeiro-Ministro e aos ministérios do Interior, das Finanças e das Relações Exteriores.

A descoberta se soma a relatos de exposição de documentos de estudantes e professores, ataques a portais governamentais, interferência nas compras eletrônicas e um incidente de ransomware que interrompeu as negociações de ações. Relatos publicados em outubro de 2026 descrevem uma administração digital cujas falhas de segurança podem afetar tanto a privacidade pessoal quanto o acesso a serviços essenciais.

Esses incidentes envolvem problemas diferentes. O fato de um endereço de e-mail aparecer em um vazamento não prova, por si só, que alguém tenha invadido uma rede do governo. Tirar um site do ar não comprova que seus registros tenham sido roubados. Ainda assim, credenciais expostas, controles de acesso fracos e dependência de infraestrutura compartilhada podem se combinar e abrir caminhos para sistemas mais sensíveis.

O Nepal está conectando passaportes, verificação de identidade, tributação, serviços bancários e previdência social a serviços digitais, enquanto cidadãos continuam relatando filas, atrasos na emissão de carteiras de identidade e servidores indisponíveis. A questão central, portanto, vai além de deter hackers: o governo precisa proteger as informações que exige que as pessoas forneçam e, ao mesmo tempo, manter os serviços funcionando quando algum componente falha.

O que a descoberta sobre os e-mails comprova

Segundo o diretor do Centro Nacional de Segurança Cibernética, Raj Kumar Maharjan, o Nepal se tornou a 47ª entidade governamental a aderir ao Have I Been Pwned. A integração permite que o centro identifique endereços governamentais expostos em vazamentos ocorridos em outros lugares, em vez de depender apenas de evidências encontradas em suas próprias redes.

Maharjan disse que o centro notificaria os departamentos afetados e exigiria a troca das senhas. Ele explicou como o serviço de monitoramento muda a resposta:

Por meio deste portal, nosso centro agora recebe informações precisas sobre qual endereço de e-mail foi vazado e de qual fonte. Isso nos permite alertar os funcionários responsáveis em tempo real, exigir a redefinição imediata das senhas e evitar danos adicionais.

O número de 135 não deve ser interpretado como uma contagem de invasões confirmadas a 135 caixas de e-mail do governo. Os relatos públicos não informam quantas contas continuavam vulneráveis, se as senhas expostas ainda eram válidas ou quantas contavam com uma camada adicional de autenticação.

A especialista em segurança cibernética Mona Nyachhyon alertou que contas oficiais comprometidas podem ameaçar redes internas e comunicações confidenciais. Um invasor que controla uma caixa de e-mail governamental legítima também pode fazer pedidos fraudulentos parecerem confiáveis, especialmente quando os destinatários reconhecem o endereço.

Relatos separados mencionam credenciais associadas ao Banco de Desenvolvimento Agrícola que foram expostas por meio de um malware que rouba informações de dispositivos infectados. Esse tipo de roubo pode ocorrer no computador usado para acessar um serviço, sem que o invasor precise invadir diretamente o servidor central do serviço.

Documentos de cidadãos e portais públicos enfrentam ameaças diferentes

Segundo relatos, o sistema online da Comissão de Subsídios Universitários expôs documentos de cidadania, certificados educacionais, dados de contas bancárias e registros do Número Permanente de Contribuinte pertencentes a professores e estudantes. Bastava alterar o endereço de uma página para acessar os documentos, pois faltavam controles de acesso.

Controle de acesso é a verificação que determina se uma pessoa tem permissão para consultar um registro específico. Um documento não está protegido simplesmente porque seu endereço é difícil de adivinhar. O servidor precisa verificar a autorização sempre que alguém faz uma solicitação.

Relatos também descrevem acesso não autorizado à interface de programação de aplicações pública do portal de nuvem do governo. Uma interface, geralmente chamada de API, permite que sistemas de software troquem informações ou executem ações. Grupos identificados como PSy404 e AnoNagoSt, associados à rede ForceAnon, teriam usado esse acesso para publicar mensagens e imagens.

Outros incidentes relatados incluem vulnerabilidades divulgadas pelo Midnight Ops Nepal em sistemas como o Departamento de Hidrologia e Meteorologia, além de acesso a painéis administrativos de ministérios atribuído ao FunkSec. Documentos orçamentários e municipais teriam sido oferecidos à venda.

Essas alegações exigem avaliações separadas. Publicar conteúdo por meio de uma interface pública demonstra uma falha de controle, mas não comprova o acesso a todos os bancos de dados hospedados na nuvem do governo. Relatos de documentos oferecidos à venda também precisam de verificação de autenticidade, abrangência e origem antes que seja possível dimensionar toda a exposição.

Uma cronologia de ataques relatados e ações do governo

Os relatos descrevem incidentes ocorridos ao longo de vários anos, e não um único ataque coordenado. A sequência também mostra que a criação de um centro cibernético dedicado não pôs fim às interrupções.

• 1º de janeiro de 2024: Um ataque distribuído de negação de serviço teria interrompido sites e aplicativos de serviços públicos, com efeitos que duraram semanas.
• 23 de janeiro de 2024: O Conselho de Ministros decidiu criar o Centro Nacional de Segurança Cibernética, que começou a funcionar mais tarde naquela primavera.
• Dezembro de 2024: Foram relatados ataques a portais governamentais nas províncias de Gandaki, Lumbini e Bagmati.
• Fevereiro de 2025: Relatos descreveram ataques a 21 subdomínios da província de Koshi.
• Março de 2025: O banco de dados da plataforma de reclamações Hello Sarkar teria sido comprometido e oferecido à venda.
• Abril de 2025: Cerca de 2 milhões de registros de cidadania enviados para boletins policiais teriam sido roubados de um site da Polícia do Nepal e oferecidos à venda.
• 13 de maio de 2026: Emendas publicadas às Regras de Distribuição de Atribuições do Governo do Nepal teriam transferido órgãos importantes de tecnologia para o Gabinete do Primeiro-Ministro.
• Setembro de 2026: Um suposto ataque de ransomware interrompeu sistemas que atendem 72 corretoras de valores e paralisou as negociações por um dia.
• Início de outubro de 2026: A Pathao Nepal teria reconhecido um vazamento envolvendo nomes de usuários, endereços de e-mail e números de telefone.

O suposto roubo de cerca de 2 milhões de registros policiais está entre as maiores exposições descritas. Esse número é uma alegação relatada, não uma contagem de pessoas afetadas estabelecida de forma independente. Os relatos não apresentam uma discriminação verificada de registros únicos nem uma avaliação pública completa dos danos.

Compras eletrônicas levam a segurança para os gastos públicos

O suposto comprometimento do sistema eletrônico de compras governamentais, conhecido como e-GP, diz respeito à integridade dos contratos públicos tanto quanto à confidencialidade das informações. O Escritório de Monitoramento de Compras Públicas administra a plataforma de licitações para obras governamentais que valem bilhões de rúpias.

Segundo relatos, investigadores descobriram que usuários não autorizados podiam consultar os valores confidenciais das propostas de concorrentes e alterar os números depois do prazo de envio. Os relatos mencionam uma suposta cooperação entre hackers, intermediários e empreiteiros, incluindo pagamentos em criptomoedas e um site falso de compras públicas.

Segundo relatos, o Bureau Central de Investigação da Polícia do Nepal prendeu mais de 20 pessoas, incluindo um ex-ministro, empresários da construção civil e funcionários técnicos, e levou os casos à Justiça. Prisões e acusações não equivalem a condenações. Os relatos não apresentam decisões finais que estabeleçam a responsabilidade de cada acusado.

As preocupações com a segurança teriam levado à suspensão das licitações eletrônicas e à retomada de propostas em envelopes lacrados para compras essenciais. Os relatos não informam uma data confirmada para a retomada.

A diferença em relação a um vazamento de documentos é fundamental. A confidencialidade falha quando alguém vê uma proposta que não deveria ver. A integridade falha quando alguém altera a própria proposta. Se uma dessas proteções deixa de funcionar, um sistema digital criado para tornar as compras públicas mais transparentes pode, em vez disso, conceder uma vantagem não divulgada a determinados concorrentes.

Um único fornecedor pode interromper um mercado inteiro

Um incidente de ransomware em setembro de 2026 teria atingido um centro de dados privado que hospedava sistemas de gestão de negociações para 72 corretoras. Segundo relatos, as negociações na Bolsa de Valores do Nepal ficaram indisponíveis por um dia inteiro. O relato original também afirma que informações governamentais eram hospedadas na unidade afetada.

O ransomware geralmente bloqueia o acesso a sistemas ou dados, muitas vezes criptografando arquivos, e exige pagamento. Os relatos não estabelecem o mecanismo técnico do ataque, se informações também foram roubadas ou se algum resgate foi pago.

A consequência descrita com mais clareza é operacional: uma interrupção em um único provedor de hospedagem se propagou por dezenas de corretoras e impediu os investidores de negociar. Isso é risco de concentração, situação em que muitas organizações dependem do mesmo fornecedor ou da mesma infraestrutura.

O vazamento da Pathao Nepal representa uma exposição diferente no setor privado. Nomes, endereços de e-mail e números de telefone teriam vazado no início de outubro de 2026. Os relatos mencionam milhares de usuários afetados, mas não apresentam um total exato verificado.

Relatos anteriores também mencionam vazamentos de informações de clientes envolvendo a Vianet e a Foodmandu, ataques a sistemas de caixas eletrônicos de bancos e uma tentativa de ataque ao sistema SWIFT do NIC Asia Bank. Esses incidentes diferem em abrangência e resultado, mas mostram que o desafio de segurança vai além dos sites governamentais e alcança serviços usados para comunicação, compras, transporte e finanças.

Problemas de capacidade da identidade nacional se propagam entre serviços

O sistema nacional de identidade ilustra como um serviço pode falhar sem que haja um ataque cibernético confirmado. Relatos atribuem semanas de interrupção na autenticação à pressão técnica sofrida quando o sistema biométrico se aproximou da capacidade de cerca de 20 milhões de registros.

Mais de 16 órgãos teriam enfrentado interrupções, entre eles serviços de passaporte, tributação, transporte e bancos. O número descreve a pressão sobre a capacidade relatada do sistema, não uma contagem verificada de pessoas cujas informações biométricas foram expostas.

Os relatos divergem na descrição da identidade corporativa do fornecedor francês. O relato original menciona uma transição da Idemia para a IN Groupe, enquanto outro repete IDEMIA como nome atual. Os termos exatos do contrato e dos serviços de suporte não estão estabelecidos aqui. A questão operacional é a mesma: vários serviços dependiam de uma única plataforma de autenticação e foram afetados quando ela ficou indisponível.

Um serviço de identidade compartilhado pode reduzir a repetição de verificações e a burocracia. Também se torna um ponto único de falha se os órgãos não puderem recorrer a uma alternativa segura quando o serviço deixa de responder. Por isso, o planejamento de capacidade, os procedimentos de recuperação e a definição clara das responsabilidades do fornecedor são importantes, assim como a proteção contra invasores.

As consequências para a privacidade exigem o mesmo cuidado. Impressões digitais são identificadores biométricos; números de cidadania e datas de nascimento são informações de identidade, não dados biométricos. Ao contrário de uma senha, uma impressão digital não pode simplesmente ser trocada. A exposição desses dados pode criar oportunidades duradouras para falsidade ideológica e fraudes direcionadas.

As defesas do governo estão se ampliando, mas têm limites

Segundo relatos, o Centro Nacional de Segurança Cibernética auditou quase 40 sistemas governamentais nos quatro meses anteriores à divulgação do vazamento dos e-mails. Também usa o CTM360, uma ferramenta de monitoramento fornecida pela União Internacional de Telecomunicações, para acompanhar negociações ilícitas envolvendo informações do governo.

Um sistema de Gerenciamento de Informações e Eventos de Segurança, adquirido recentemente, coleta e analisa registros de atividade nas redes governamentais. Ferramentas desse tipo ajudam as equipes a identificar padrões suspeitos, mas sua eficácia depende do que é monitorado e da rapidez com que os alertas são investigados.

Prakash Duwadi, identificado no relato em nepalês como responsável por informações no Escritório de Tecnologia da Informação e Governo Eletrônico, disse que portais governamentais hospedados podem enfrentar de 7 mil a 8 mil tentativas de ataque simultâneas. Ele estimou que testes básicos feitos por estudantes ou crianças representam de 10% a 20% das tentativas. Os relatos não explicam o período nem o método de contagem.

Duwadi também disse que, às vezes, os funcionários desconectam sistemas quando não conseguem defendê-los com segurança. Portanto, a indisponibilidade de um servidor pode ser uma medida de proteção, e não uma evidência de que invasores assumiram o controle. De qualquer forma, os cidadãos perdem acesso, o que torna necessários avisos precisos sobre os serviços e procedimentos de recuperação.

Maharjan atribuiu mais de 90% dos incidentes cibernéticos ao comportamento humano e à engenharia social. Essa é a avaliação que ele declarou, não uma conclusão estatística nacional documentada. Ele também alertou que o desenvolvimento acelerado de aplicativos com inteligência artificial pode fazer com que desenvolvedores desconheçam falhas de criptografia e segurança.

Mensagens de phishing relatadas se passaram pelo inspetor-geral adicional Manoj Kumar KC, pelo Gabinete do Primeiro-Ministro e por outros funcionários da polícia. Elas ameaçavam os destinatários com processos para pressioná-los a responder ou revelar informações. Esses exemplos mostram como o medo e a autoridade oficial podem se tornar ferramentas de fraude.

Os direitos à privacidade precisam de aplicação efetiva e visível

O artigo 28 da Constituição do Nepal protege a privacidade. A Lei de Privacidade, 2075 (2018), também estabelece obrigações relativas a informações pessoais mantidas por órgãos públicos. O relato original e a análise que o acompanha associam o artigo 29 a penas de até três anos de prisão, o artigo 31 à indenização e o artigo 32 a medidas disciplinares.

Essas disposições não estabelecem que toda falha técnica relatada atenda aos requisitos para configurar um crime ou gerar indenização. A responsabilidade deve ser determinada com base na conduta envolvida, nas disposições legais aplicáveis e nas provas. Os relatos públicos trazem poucos detalhes sobre penalidades ou indenizações decorrentes dos incidentes discutidos.

A responsabilidade administrativa também está mudando. Emendas publicadas em 13 de maio de 2026 teriam transferido o Centro de Segurança Cibernética, o Centro de Gestão de Dados e o Departamento de Tecnologia da Informação para o Gabinete do Primeiro-Ministro. Uma pauta aprovada pelo Conselho de Ministros em 27 de março de 2026 previa a criação de um Escritório de Tecnologia da Informação e Governo Eletrônico em três meses, mas, segundo relatos, os levantamentos organizacionais ainda não estavam concluídos quando o texto foi publicado.

A estrutura resultante e a hierarquia de subordinação continuavam indefinidas. Transferir instituições não determina, por si só, quem deve notificar os cidadãos afetados, aprovar a restauração de um serviço comprometido ou verificar se um fornecedor corrigiu uma falha de segurança.

Testes, compras e divulgação são as próximas decisões

A análise original propõe incluir desde o início obrigações de segurança nas compras de software. Entre elas estão criptografia, atualizações contínuas, manutenção e seleção baseada em qualidade e custo, em vez de tratar o software como uma compra encerrada no momento da entrega. Essas são propostas, não novas exigências governamentais confirmadas.

O texto também defende avaliações obrigatórias de vulnerabilidade e testes de intrusão antes de disponibilizar serviços aos cidadãos. Esses testes identificam falhas e simulam tentativas controladas de invasão. Concluir um teste não é o mesmo que corrigir os problemas encontrados: uma decisão confiável de lançamento exige provas de que as falhas graves foram corrigidas e verificadas novamente.

O especialista em segurança cibernética Naresh Lamgade afirma que a segurança costuma ser deixada de lado durante o desenvolvimento e que pesquisadores independentes são desencorajados a relatar vulnerabilidades. Um canal claro para esses relatos, com procedimentos definidos de tratamento, ajudaria a transformar descobertas em correções, em vez de deixar os pesquisadores sem saber como entrar em contato com um órgão.

Outras medidas propostas incluem autenticação adicional para contas de e-mail do governo e contas administrativas, auditorias regulares de centros de dados, notificações aos cidadãos afetados após vazamentos e a criação de uma autoridade independente de proteção de dados. Os relatos não indicam datas confirmadas para a adoção dessas medidas.

As perguntas imediatas ainda sem resposta são específicas: quantas contas expostas já foram protegidas, se os conjuntos de dados supostamente roubados tiveram sua autenticidade confirmada, quando as licitações eletrônicas serão retomadas e como os serviços de identidade evitarão outra interrupção por problemas de capacidade. Respostas públicas permitiriam avaliar a recuperação pelos resultados, e não pelo número de serviços colocados online.

Pontos principais

• Pelo menos 135 contas de e-mail do governo foram identificadas em vazamentos externos depois que o Nepal aderiu ao Have I Been Pwned.
• Entre as exposições relatadas estão documentos universitários e cerca de 2 milhões de registros de cidadania usados em boletins policiais; este último total ainda não foi verificado.
• Mais de 20 pessoas teriam sido presas no caso das compras eletrônicas; não foram informados os resultados finais dos processos.
• Um suposto incidente de ransomware em setembro de 2026 interrompeu sistemas que atendem 72 corretoras e paralisou as negociações de ações por um dia.
• Problemas de capacidade do sistema de identidade nacional teriam interrompido a autenticação por semanas em mais de 16 órgãos.
• O monitoramento e os testes de segurança foram ampliados, mas a notificação de vazamentos, a definição de responsabilidades e várias datas de recuperação continuam pendentes.