Cidade de Columbus processa especialista que revelou a dimensão de ataque cibernético

• A cidade de Columbus, no estado de Ohio, entrou com uma ação contra o especialista em cibersegurança Connor Goodwolf, que vinha divulgando os tipos e a escala dos dados vazados, e o tribunal aceitou o pedido da cidade por uma ordem de restrição temporária
• O caso ganhou força em 18 de julho, quando o departamento de tecnologia da cidade detectou sinais anormais no sistema e cortou a conexão com a internet; o grupo hacker Rhysida afirmou possuir 6,5 TB de dados e divulgou 45% desse material
• Em 13 de agosto, o prefeito Andrew Ginther disse que os dados roubados provavelmente estavam corrompidos ou criptografados e, portanto, inutilizáveis, mas Goodwolf contestou isso no mesmo dia ao mostrar à 10TV exemplos de informações pessoais acessíveis
• O material divulgado depois também incluía o fato de que a Columbus police crime matrix, com informações sobre testemunhas, vítimas e suspeitos em relatórios policiais dos últimos 10 anos, além de relatórios de policiais infiltrados, podia ser baixada
• Por ordem judicial, Goodwolf não pode acessar, baixar nem distribuir os dados roubados da cidade, e a cidade pede pelo menos US$ 25 mil em indenização, além de acusações como invasão de privacidade, negligência e apropriação civil

---

Processo contra Goodwolf e ordem de restrição temporária

• Um juiz do condado de Franklin aprovou, a pedido da cidade de Columbus, uma ordem de restrição temporária contra o especialista em cibersegurança Connor Goodwolf
• Nas últimas semanas, Goodwolf vinha informando à 10TV e a outros veículos os tipos de informação publicados na dark web, e o nome que usa em entrevistas não é seu nome legal
• Pela ordem, Goodwolf deve parar de acessar, baixar e distribuir os dados roubados da cidade
• A cidade pediu pelo menos US$ 25 mil em indenização, e o valor final será definido no julgamento
• No processo, a cidade afirma que as ações de Goodwolf causaram “danos irreparáveis” e “preocupação generalizada em toda a região de Central Ohio”
• As acusações da cidade são quatro: indenização por ato criminoso, invasão de privacidade, negligência e apropriação civil
• Segundo os registros da Franklin County Common Pleas Court, a conferência final pré-julgamento está marcada para 18 de setembro de 2025
• A 10TV pediu um posicionamento de Goodwolf, mas ele se recusou a responder

Evolução do vazamento de dados e divulgações conflitantes

• A cidade de Columbus afirmou que o problema foi identificado pela primeira vez em 18 de julho, quando o departamento de tecnologia detectou “evidências de sinais anormais” no sistema
• Depois disso, a cidade cortou a conexão com a internet
• Duas semanas depois, o grupo hacker Rhysida assumiu a responsabilidade pelo ataque, dizendo ter 6,5 TB de dados, e mais tarde divulgou 45% do material roubado
• Em 13 de agosto, o prefeito Andrew Ginther disse que os dados roubados pelos hackers provavelmente estavam corrompidos ou criptografados e sem utilidade
• No mesmo dia, Goodwolf disse à 10TV que isso não era verdade e mostrou os tipos de informações pessoais acessíveis
• Depois disso, Goodwolf continuou relatando a situação dos dados da cidade publicados na dark web e, mais recentemente, disse que a Columbus police crime matrix podia ser baixada
  • O banco de dados inclui informações sobre testemunhas, vítimas e suspeitos em relatórios policiais dos últimos 10 anos
  • Também inclui relatórios de policiais infiltrados

Argumento de segurança pública apresentado pela cidade

• O procurador da cidade, Zach Klein, disse que a medida não tem como objetivo suprimir os direitos de Goodwolf garantidos pela Primeira Emenda (First Amendment)
• Klein afirmou que o problema não é a fala em si, mas o ato de entrar na dark web, coletar e baixar informações e depois distribuí-las à imprensa ou a outras pessoas
• Sobre o motivo de não terem agido antes, explicou que os tipos de dados passaram a representar um nível de ameaça a investigações criminais
• Klein disse que as informações baixadas e compartilhadas por Goodwolf representam uma ameaça à segurança pública e que a medida busca proteger policiais, vítimas e testemunhas
• A cidade alega que Goodwolf ameaça divulgar os dados roubados por meio de um site que ele mesmo criaria
• Goodwolf havia dito anteriormente à 10TV que pretende criar um site, mas apenas para que usuários possam verificar se seus nomes estão incluídos no vazamento de dados

[GN⁺]

Opiniões no Hacker News

• Como ex-tester de intrusão, em geral simpatizo com o Goodwolf, mas divulgar dados reais é quase sempre uma má ideia. É por isso que programas de bug bounty têm limitações de escopo.
  A cidade parece estar irritada porque ele compartilhou dados relacionados a uma investigação em andamento e relatórios de policiais infiltrados; dependendo exatamente do que ele compartilhou, talvez seja difícil culpar a cidade. Independentemente de onde os dados já estejam, pegá-los e repassá-los a outra pessoa é claramente ruim.
  Se o objetivo era provar a jornalistas que esses dados existiam e podiam ser baixados, havia várias maneiras de fazer isso sem acessar os dados reais: capturas de tela de postagens em fóruns, repassar links, descrever os tipos de dados etc. Se foi só isso que ele fez e a cidade reagiu dessa forma, é claramente um abuso; mas não é estranho, por si só, ordenar que alguém não espalhe a jornalistas dados de uma investigação em andamento.
  Ainda assim, sinto empatia, porque é um erro fácil de cometer — antes de entrar no setor, eu teria achado que isso era hacking white hat. Avisar sobre uma violação é bom, mas como você avisa é realmente importante.
  Dito isso, minha experiência foi de cerca de um ano, em 2016, então as coisas podem ter mudado. Mesmo assim, acho que eu ficaria bastante surpreso se, hoje, um pentester considerasse aceitável distribuir dados reais de qualquer violação.
  A cidade diz que Goodwolf ameaçou criar um site próprio para divulgar os dados roubados da cidade, mas Goodwolf já disse à 10TV que planejava criar um site em que seria possível verificar apenas se um nome estava incluído no vazamento de dados. Isso é diferente de um site para verificar vazamento de senhas, e poderia permitir que qualquer pessoa digitasse um nome para confirmar se aquela pessoa é testemunha em uma investigação criminal.

  • Não está muito claro exatamente o que foi compartilhado e como. Na matéria sobre a violação de dados vinculada ao artigo, parece que Goodwolf baixou os dados para verificar o conteúdo e os mostrou a um jornalista, mas não parece que tenha realmente publicado os dados ou os distribuído de modo que o jornalista os mantivesse permanentemente.
    É parecido com a Boeing dizer “não sabíamos dos problemas do 737 MAX” e um funcionário mostrar à imprensa uma captura de tela de um memorando confidencial dizendo “vocês sabiam, aqui está a verdade”.
    Concordo que criar um site para pesquisar nomes e verificar se alguém está relacionado a uma investigação policial é uma má ideia, mas ele não chegou a fazer isso; apenas tinha esse plano.
  • Pelo artigo que li, Goodwolf não divulgou os dados. Os hackers divulgaram os dados, a cidade mentiu, e Goodwolf apenas pegou dados acessíveis publicamente e comprovou aos jornalistas a mentira da cidade.
    A menos que aquele artigo tenha distorcido gravemente a situação, isso parece nada menos que uma enorme violação de liberdades civis, com a cidade tentando fazer de Goodwolf um bode expiatório. Todo o dano de que eles falam é consequência da própria negligência deles.
  • Isso não foi “divulgar” informação; ela já estava publicada. A dark web não é um lugar que exige uma conexão especial apenas por convite; são sites comuns que qualquer pessoa pode acessar, se souber onde procurar. Mesmo usando TOR, é a mesma coisa.
  • Não é difícil culpar a cidade. Esses tomadores de decisão estão exercendo violência que desencoraja pessoas dispostas a ajudar com problemas muito graves de cibersegurança. E problemas assim estão por toda parte.
    Numa sociedade saudável, a pessoa que decidiu por essa acusação teria sido oferecida em sacrifício a um vulcão — metaforicamente, é claro.
  • Esses são dados que criminosos já haviam disponibilizado publicamente.

• A fala de Klein — “Isto não é uma questão de expressão. Não é. É uma questão das ações concretas de entrar pelo teclado na dark web, coletar informações, baixá-las para o computador e depois distribuí-las à imprensa ou a outras pessoas” — está errada.
  Isto é uma questão de mentir aos cidadãos sobre a natureza e o formato dos dados que não foram protegidos.

  • É engraçado como políticos falam da dark web como se fosse um monstro escondido à noite esperando para atacar criancinhas. Literalmente é só um conjunto de sites.

• Isso é absurdo. Os pesquisadores apenas apontaram o quão ruim era a segurança da cidade de Columbus, Ohio.
  Em 13 de agosto, o prefeito Andrew Ginther disse que os dados roubados pelos hackers estavam corrompidos ou criptografados e provavelmente eram inúteis. Algumas horas depois, Goodwolf disse à 10TV que isso não era verdade e mostrou os tipos de informações pessoais aos quais conseguiu ter acesso.
  Toda a liderança da cidade deveria ser alvo de recall. Eles passam vergonha por não terem segurança, mentem aos cidadãos dizendo “estava criptografado, bro! confia, sou político!”, são devidamente desmentidos, e ainda jogam mais lenha na fogueira usando dinheiro de impostos para abrir esse processo estúpido.

  • Concordo. Se numa cidade muito grande não há ninguém capaz de apresentar outra versão, parece que governos locais em geral funcionam assim. Todo mundo vive sob a premissa de que “fizeram o melhor que sabiam”, como se isso os isentasse de responsabilidade.
    Vi muitas coisas estranhas ao longo dos anos, e aceitar a explicação da própria parte sobre como a segurança funciona como forma de isentá-la de responsabilidade é, na melhor das hipóteses, ignorância deliberada. Se governos locais vão guardar informações pessoais, precisam ser responsáveis por esses dados. Em 2024, “eu não sabia” não é aceitável — e, na verdade, já não era há pelo menos uns 10 anos.

• Uma cidade constrangida processando uma pessoa incômoda que contou a todos o quanto eles estavam falando bobagem.
  Processar um pesquisador de segurança que investigou o conteúdo de informações publicadas não protege ninguém.

  • Isso me lembra um episódio do Dark Net Diaries. Pesquisadores contratados por um governo estadual fizeram um teste de intrusão física em um prédio de tribunal remoto e foram pegos. Os pentesters cooperaram com os seguranças e a polícia local e explicaram a situação.
    Então apareceu no local outra pessoa reivindicando jurisdição, fez um escândalo, ligou para algum lugar e mandou prender os pentesters ali mesmo por invasão de propriedade.
    O governo estadual os deixou largados em alguma cadeia de condado e, no fim, depois de passar vergonha, parece que tentou buscar indenização civil e acusações criminais contra a empresa e os pentesters.
    As acusações acabaram sendo retiradas, mas a reputação dos pentesters ficou prejudicada por um tempo.

• Este é exatamente o tipo de caso para a EFF ou a ACLU assumir e ajudar na defesa contra uma ordem de restrição tão estúpida e instrumentalizada.

• Este resumo parece melhor:
  https://arstechnica.com/security/2024/08/city-of-columbus-su...

• Grupo hacker: não processado.
  Site público que hospedou os registros hackeados: não processado.
  Funcionários públicos que mentiram: não processados.
  Pessoa comum que apontou os três: processada.

• https://archive.is/dEBJT
  Bloqueado na UE.

• Morei em Columbus por vários anos, e isso é totalmente plausível. Estar na posição de cidade democrata em um estado dominado por republicanos faz o governo ficar bastante descarado na autoproteção.

• Se a frase “Isto não é uma questão de expressão. É uma questão das ações concretas de entrar pelo teclado na dark web, coletar informações, baixá-las para o computador e distribuí-las à imprensa ou a outras pessoas” estiver correta, então, a menos que esteja faltando algo na matéria, também seria ilegal o recurso do Chrome ou do Firefox que avisa sobre possível vazamento de senhas.
  A realidade é que a cidade está errada.