Cidade de Columbus processa especialista que revelou a escala do ataque cibernético

• Tribunal de primeira instância aprova ordem de restrição contra especialista em cibersegurança que expôs o vazamento de dados da cidade

  • Um juiz do condado de Franklin aprovou uma ordem de restrição temporária contra Connor Goodwolf, especialista em cibersegurança que divulgou os tipos e o volume de informações expostas no ataque cibernético sofrido pela cidade no mês passado
  • Nas últimas semanas, Goodwolf deu entrevistas à 10TV e a outros veículos de imprensa, explicando em detalhes quais informações estavam na dark web

• Evolução do ataque cibernético à cidade

  • A cidade desligou sua conexão com a internet em 18 de julho, após o departamento de tecnologia detectar sinais anormais nos sistemas
  • Duas semanas depois, o grupo de hackers Rhysida afirmou ter realizado o ataque e anunciou que possuía 6,5 terabytes de dados
  • Depois disso, a Rhysida divulgou 45% dos dados roubados da cidade

• Impacto do vazamento de dados

  • Em 13 de agosto, o prefeito Andrew Ginther anunciou que os dados roubados pelos hackers estavam corrompidos ou criptografados, tornando-os inúteis
  • No entanto, em entrevista à 10TV, Goodwolf afirmou que isso não era verdade e mostrou informações pessoais às quais ele conseguia acessar
  • Goodwolf revelou recentemente que a matriz de crimes da polícia de Columbus podia ser baixada. Esse banco de dados inclui informações sobre testemunhas, vítimas e suspeitos em relatórios policiais dos últimos 10 anos

• Ordem de restrição e processo

  • A cidade solicitou e obteve uma ordem de restrição temporária contra Goodwolf. A cidade pede no mínimo US$ 25.000 em indenização por danos, e o valor total será definido no julgamento
  • O tribunal ordenou que Goodwolf interrompesse o acesso, download e distribuição dos dados roubados da cidade
  • A cidade afirma que Goodwolf causou "dano irreparável" e "preocupação generalizada em toda a região de Ohio Central"

• Posição da cidade

  • O advogado da cidade, Zach Klein, enfatizou que o caso não tem como objetivo suprimir a liberdade de expressão de Goodwolf
  • Klein explicou que a medida busca impedir a disseminação de dados que ameaçam investigações criminais
  • Klein afirmou que está tentando proteger policiais, vítimas e testemunhas, e sustentou que as informações baixadas e compartilhadas por Goodwolf representam uma ameaça à segurança pública

• Plano de Goodwolf

  • Goodwolf declarou que pretende divulgar os dados roubados da cidade por meio de um site criado por ele. No entanto, afirmou que esse site seria usado apenas para que as pessoas verificassem se seus nomes estavam incluídos no vazamento de dados

• Reação da cidade

  • O escritório de Klein declarou que respeita a decisão do juiz e que ela é uma medida positiva para impedir a disseminação de dados confidenciais roubados de funcionários e vítimas
  • A cidade apresentou quatro acusações contra Goodwolf: indenização por danos decorrentes de ato criminoso, invasão de privacidade, negligência e conversão civil
  • A audiência preliminar final está marcada para 18 de setembro de 2025

Resumo do GN⁺

• Este caso trata da resposta jurídica contra um especialista em cibersegurança que divulgou informações importantes relacionadas ao vazamento de dados da cidade
• Goodwolf gerou controvérsia ao revelar que, ao contrário do que a cidade anunciou, os dados roubados pelos hackers eram úteis
• A cidade alega que as ações de Goodwolf representam uma ameaça à segurança pública e tomou medidas legais
• O caso relembra, mais uma vez, as questões legais e éticas ligadas a vazamentos de dados e reforça a importância da segurança de dados

[GN⁺]

Comentários do Hacker News

• Como ex-pentester, simpatizo com o Goodwolf, mas divulgar dados reais quase sempre é uma má ideia

  • É por isso que programas de bug bounty têm escopo limitado
  • A cidade parece estar irritada porque Goodwolf compartilhou dados sobre a investigação em andamento e relatórios policiais confidenciais
  • Baixar os dados e repassá-los a outras pessoas claramente não é uma boa ideia
  • Para provar a jornalistas que os dados existiam e podiam ser baixados, havia muitas formas de fazer isso sem acessar os dados: tirar capturas de tela da postagem no fórum, enviar o link aos jornalistas, descrever os tipos de dados etc.
  • Se ele tivesse feito isso e ainda assim a cidade reagisse dessa forma, isso seria claramente abuso
  • Não é irrazoável ordenar que dados de uma investigação em andamento não sejam disseminados a jornalistas
  • Ninguém gostaria que um incidente pessoal seu se espalhasse ainda mais
  • Sinto muita empatia por ele, porque esse é um erro fácil de cometer
  • Antes de entrar no setor, eu achava que isso era white hat hacking
  • Espalhar conscientização sobre a invasão é claramente algo bom, mas como isso é feito realmente importa
  • Trabalhei nesse setor por cerca de um ano em 2016, mas mesmo hoje não acho que distribuir dados reais comprometidos seria aceitável para qualquer pessoa trabalhando como pentester

• Goodwolf está ameaçando criar seu próprio site para divulgar os dados roubados da cidade

  • Goodwolf disse à 10TV que planeja montar seu site, mas que permitiria que as pessoas verificassem se seus nomes estavam incluídos no vazamento de dados
  • Isso é diferente de montar um site para verificar se uma senha vazou
  • Isso poderia permitir que alguém digitasse o nome de outra pessoa para verificar se ela é testemunha em uma investigação criminal
  • Klein disse: "Não se trata de expressão, mas do ato concreto de acessar a dark web com um teclado, coletar informações, baixá-las para um computador e depois distribuí-las à imprensa ou a outras pessoas"

• Trata-se de a cidade ter mentido ao público sobre não ter conseguido proteger os dados

  • Os pesquisadores estão simplesmente apontando o quão ruim é o sistema de segurança de Columbus, OH
  • Em 13 de agosto, o prefeito Andrew Ginther disse que os dados roubados pelos hackers provavelmente eram inúteis, porque estavam corrompidos ou criptografados
  • Horas depois, Goodwolf mostrou que isso não era verdade e quais tipos de informações pessoais ele conseguiu acessar
  • Toda a liderança da cidade deveria ser demitida
  • Foram pegos sem segurança, mentiram ao público e, quando a mentira foi legitimamente exposta, jogaram gasolina no fogo com esse processo idiota
  • A cidade, em pânico, está processando a pessoa irritante que contou a todo mundo o quão bagunçada ela está
  • Processar um pesquisador de segurança que investiga o conteúdo de informações expostas não protege ninguém
  • Este é um caso perfeito para a EFF ou a ACLU ajudarem a defender contra essa liminar idiota e usada como arma

• Morei em Columbus por vários anos

  • Isso está absolutamente certo
  • Há algo em uma cidade azul de um estado vermelho que a torna muito ousada em se proteger

• Para acrescentar à lista:

  • Quadrilha de hackers: não processada
  • Site público hospedando os registros hackeados: não processado
  • Funcionários públicos mentirosos: não processados
  • Joe Schmoe, que apontou essas três coisas: processado