Dados de 600 mil famílias em Gaza expostos em ataque ao WFP

O WFP foi alvo de uma violação crítica em sua aplicação de autorregistro (SRA) para Gaza, exposta em 14 de maio de 2026, não por um erro operacional comum, mas por uma falha técnica explorável que já havia sido alertada dois dias antes, em 12 de maio, por um especialista independente. A SRA é um sistema proprietário, desenvolvido exclusivamente para a Palestina, e não tem equivalente em outras operações do WFP. Diferentemente de vazamentos em setores corporativos ou de saúde, aqui os dados comprometidos, nomes, IDs nacionais, números de celular e bairros, não servem apenas para fraude: em Gaza, revelar localização precisa pode colocar vidas em risco imediato, sob fogo cruzado ou vigilância direcionada.

A notificação aos afetados só ocorreu entre 31 de maio e 1º de junho via Telegram, uma escolha funcional, mas com limitações claras de alcance e verificabilidade em áreas com conectividade intermitente. O WFP desativou o sistema imediatamente após a detecção, mas mantém a assistência ininterrupta, o que mostra que a falha estava isolada no canal de registro, não na cadeia logística ou financeira. Isso reforça que o problema não foi de infraestrutura geral, mas de design específico da SRA: um sistema crítico, com pouca transparência externa e sem histórico público de auditorias independentes.

Na cobertura anterior do CEVIU sobre vazamentos de 600 mil registros na Lituânia (27/05), o foco foi em dados de pessoas jurídicas e suspeita de ator estrangeiro, contexto estatal e regulatório. Aqui, o volume é semelhante (600 mil famílias), mas o impacto é humano e físico: não há multa ou processo judicial em jogo, e sim risco de retaliação, desaparecimento forçado ou ataques direcionados. Também difere da falha da Pay Tel (30/05), onde o servidor Azure estava simplesmente exposto: a SRA foi invadida por exploração ativa de vulnerabilidade, não por configuração negligente. E, ao contrário do vazamento do portal de vistos do Reino Unido (28/05), que envolvia um terceiro não oficial, a SRA é totalmente interna e operada pelo próprio WFP.

Esse incidente expõe uma falha estrutural nas operações digitais de agências humanitárias: sistemas críticos são desenvolvidos sob pressão de campo, com pouca priorização de segurança desde a concepção. A SRA não é um ERP genérico, é uma ferramenta feita para funcionar em zona de guerra, com requisitos técnicos únicos (baixa largura de banda, autenticação offline parcial, integração com bancos locais). Mas nenhum desses desafios justifica a ausência de testes de penetração pré-lançamento ou de mecanismos de detecção de anomalias em tempo real. Para empresas brasileiras que lidam com dados sensíveis, o caso serve como alerta prático: não é o tamanho do banco de dados que define o risco, mas o contexto de uso, e quem está do outro lado da tela.