En la noche del 19 de junio de 2026, millones de celulares en Brasil dispararon una alerta falsa de la Defensa Civil en nivel Extremo, sirena que ignora el modo silencioso y no se puede deshabilitar. Los mensajes contenían texto absurdo: "misantropia", "ATAQUE ALIENÍGENA, HUMANOS CHEGAMOS misantropo", "misantropo ADRESS RJ burros dms pprt." El atacante tuvo acceso sostenido por alrededor de 1 hora y 42 minutos. Y el sistema sigue fuera de línea, con decenas de millones de brasileños sin el principal canal de alerta de desastres.
El ataque: invasión de la plataforma IDAP
Según la Defensa Civil Nacional, la plataforma IDAP sufrió una invasión. Las alertas fueron "ordenadas remotamente por alguien ajeno al Sistema Nacional de Protección y Defensa Civil." Probable ataque hacker. Sistema sacado del aire a la 1:30. Policía Federal activada.
La plataforma IDAP es el sistema web donde los agentes autorizados componen y envían alertas. Desarrollada en conjunto por Anatel, el Cenad y ABR Telecom, con participación de operadoras, Google y Apple. Cerca de 1.200 agentes registrados. El atacante comprometió esa capa de origen. Las alertas siguieron por los canales legítimos del Cell Broadcast porque el mensaje vino de dentro del sistema.
La cronología muestra acceso sostenido: 23:45 en Curitiba. 00:15 en Mato Grosso del Sur. 01:20 en São Paulo, Río de Janeiro, Brasilia, Salvador, Belo Horizonte, Aracaju y Rio Branco. El atacante tuvo alrededor de 1 hora y 42 minutos de acceso, tiempo suficiente para enviar alertas en nivel Extremo a múltiples regiones.
Cell Broadcast: el canal sin autenticación
El sistema Defesa Civil Alerta usa Cell Broadcast (transmisión celular), que envía mensajes a todos los celulares compatibles en un área, sin registro, sin app, sin internet. Dos niveles: Severo (beep, respeta el silencioso) y Extremo (sirena, ignora el silencioso, no se puede deshabilitar). El atacante usó Extremo.
El problema estructural va más allá del caso brasileño. Según investigadores de CU Boulder (2019), el Cell Broadcast por diseño (estándar 3GPP) no tiene autenticación criptográfica en los mensajes SIB12 en LTE. Una estación base falsa con SDR (Software Defined Radio) comercial falsifica alertas presidenciales en EE. UU. con 90% de éxito. Según Bitsikas y Pöpper (ACSAC 2022), el 5G PWS (Public Warning System) también tiene vulnerabilidades de spoofing (falsificación) y supresión sin resolver. Las firmas digitales fueron propuestas pero no implementadas por ningún operador.
Pero el caso brasileño fue peor: no hizo falta una estación base falsa. El atacante entró por la puerta del frente. La plataforma de origen fue comprometida. Cuando hackeas el sistema que emite alertas, no necesitas falsificar la radio. Te conviertes en la fuente legítima.
El costo de un sistema fuera de línea
El sistema sigue fuera de línea. Mientras tanto, decenas de millones de brasileños sin el principal canal de alerta de desastres. En un país con inundaciones, deslizamientos y sequías recurrentes. El costo de una alerta falsa es pánico. El costo de un sistema fuera de línea son vidas.
Casos similares documentados: según la FCC, Hawái en 2018 emitió una falsa alerta de misil por error humano durante un ejercicio; según EWN y ABC Australia, Australia en 2019 tuvo su Early Warning Network hackeado vía credenciales robadas. En Brasil, primer incidente desde la cobertura nacional en octubre de 2025.
La pregunta que queda: ¿cómo un sistema diseñado para salvar vidas tenía una autenticación lo suficientemente débil como para ser comprometido por alguien que escribe "misantropi4" con leet-speak (sustitución de letras por números) de script kiddie (atacante aficionado)?
La lección para infraestructura crítica
En Tech86 vemos un patrón recurrente en auditorías de infraestructura crítica: sistemas diseñados para disponibilidad máxima sin capas de seguridad proporcionales al impacto. El Cell Broadcast es el canal de alerta más eficaz que existe, alcance universal, sin dependencia de app o internet. Pero la plataforma que lo controla necesita seguridad proporcional a su poder.
Un sistema que puede disparar sirenas en millones de celulares no puede depender de una sola contraseña. MFA obligatorio, segmentación de red, auditoría de cada envío de alerta y firma criptográfica en los mensajes SIB12 son el mínimo. Cuando el atacante entra por la puerta del frente, ninguna criptografía en la radio salva, porque el mensaje ya es legítimo en el origen. La defensa comienza antes del botón de enviar.