Hacktivista Aubrey Cottle, associado ao Anonymous, é condenado por ataque cibernético contra o Partido Republicano do Texas

Aubrey Cottle, conhecido como Kirtaner e ligado ao coletivo Anonymous, foi condenado em 28 de junho de 2026 a 18 meses de prisão por um tribunal canadense em Newmarket. A sentença refere-se ao ataque de 11 de setembro de 2021 contra o site texasgop.org, hospedado pela empresa Epik, não contra o partido diretamente, mas via exploração de sua infraestrutura terceirizada. Ele alterou a homepage com conteúdo provocativo (desenhos animados, videoclipe e imagens adultas) em protesto à lei estadual de aborto do Texas e exfiltrou 180 GB de dados, incluindo informações pessoais de funcionários e doadores.

Cottle se declarou culpado de três crimes: dano intencional a dados computacionais, obtenção ilegal de serviços de computação e violação das condições de fiança, especificamente, uso não supervisionado da internet. O juiz Joseph Di Luca aplicou a pena integral, mas com crédito pelo tempo já cumprido: ele permanecerá em custódia por mais cerca de 175 dias. A acusação norte-americana, desclassificada em 2025, ainda está pendente; sua extradição para os EUA é contestada por sua defesa com base no princípio da ne bis in idem.

Esse caso ilustra uma falha crítica na cadeia de responsabilidade de segurança: partidos políticos que terceirizam hospedagem para provedores com histórico controverso, como a Epik, já alvo de múltiplas investigações por abrigar conteúdos extremistas, expõem seus dados a riscos que vão além de sua própria superfície de ataque. A invasão não exigiu exploração direta do site do GOP, mas sim a exploração de vulnerabilidades operacionais e de configuração na infraestrutura do host. Isso reforça que a segurança de um domínio depende tanto da postura do dono quanto da do prestador de serviço.

O episódio também evidencia a ambiguidade ética e legal de pesquisadores de segurança que transitam entre descoberta legítima de falhas (como as encontradas por Cottle no Keybase e nas Nações Unidas) e ações criminosas sem autorização. Não há distinção técnica entre 'hacktivismo' e crime cibernético quando há acesso não autorizado, exfiltração e divulgação pública de dados pessoais, mesmo que motivado por protesto.

Desenvolvedores e equipes de DevSecOps devem revisar contratos e SLAs com provedores de hospedagem, especialmente em contextos sensíveis como política ou saúde. A escolha de um host como a Epik, cuja postura de segurança e conformidade com leis de proteção de dados (como LGPD ou CCPA) nunca foi auditada publicamente, representa risco operacional direto, não apenas reputacional. O ataque contra o texasgop.org não usou zero-day sofisticado, mas explorou falhas de configuração e controles de acesso fracos típicos em ambientes mal gerenciados.

Além disso, o caso serve como alerta prático sobre a importância de segregação de dados: os 180 GB roubados continham informações de doadores e funcionários misturadas em backups não criptografados. Em ambientes reais, isso reforça a necessidade de aplicar princípios como minimização de dados, rotulagem de informações sensíveis e criptografia em repouso, independentemente do provedor usado. Não é sobre confiar no host, mas sobre garantir que, mesmo se ele for comprometido, os dados estejam protegidos por camadas próprias.