Resumo

  • Uma divergência entre o arquivo de alocação, a autorização e o WHOIS exige que o estado original e a história das alterações sejam preservados antes de qualquer correção.
  • A Resolução 202002.550 registrou, em fevereiro de 2020, que a AFRINIC atribuía a uma auditoria interna a descoberta de grave malversação, que o assunto já havia sido encaminhado ao Central CID e que poderia exigir cooperação internacional.
  • A AFRINIC podia auditar os próprios registros, impedir mudanças não autorizadas, preservar e fornecer evidências, corrigir erros comprovados e reforçar controles; não podia exercer coerção policial, acusar, condenar, punir, confiscar ou decidir titularidade controvertida.
  • A correção legítima de um registro depende de uma sequência verificável: congelar a prova, separar a investigação interna da pública, isolar o item discutido, avisar quem será afetado, permitir contestação e só então corrigir com base adequada.
  • Controles de acesso, revisão por duas pessoas, segregação de funções, encerramento de exceções e prestação de contas aos membros são o complemento operacional da resolução, não um substituto para a investigação competente.
  • O valor institucional da divulgação está no vínculo entre constatação, encaminhamento, reparo do registro e reparo do controle — não em qualquer conclusão sobre culpa que os materiais públicos não estabelecem.

L3 — Congelar a prova antes de corrigir o registro

Imagine o primeiro minuto de uma auditoria útil. A pessoa encarregada abre o arquivo que justificou uma alocação, consulta a cadeia de aprovações e compara esses documentos com a entrada que hoje aparece no WHOIS. Os três artefatos deveriam se confirmar. Em vez disso, surge uma discrepância: o destinatário, a justificativa, a autorização ou o momento da mudança não coincide. A reação intuitiva é restaurar imediatamente a linha considerada correta. Essa reação protege a aparência atual do cadastro, mas pode destruir o melhor vestígio de como a divergência nasceu.

Uma base saneada sem memória pode ser operacionalmente mais limpa e investigativamente mais pobre.

Copiar a última linha do WHOIS não resolve o problema. A linha final mostra apenas um estado, não o caminho que levou até ele. Para reconstituir uma alteração, é preciso distinguir o estado anterior, o evento de mudança, a identidade técnica de quem atuou, a credencial usada, a autorização alegada, os horários relevantes e os documentos examinados pela auditoria. Também importa saber se houve tentativas, recusas, revisões ou exceções antes da gravação definitiva. Sem essa sequência, duas hipóteses muito diferentes podem produzir a mesma tela: um erro administrativo corrigível ou uma mudança deliberadamente não autorizada.

O registro atual, sozinho, não permite escolher entre elas.

Por isso, a preservação vem antes da correção. Preservar não significa declarar que tudo o que foi encontrado é verdadeiro nem que alguém cometeu um crime. Significa impedir que o ato corretivo misture o antes e o depois. Uma cópia íntegra do estado original, a história de mudanças, os registros de acesso, as aprovações e os papéis de trabalho precisam permanecer distinguíveis da análise posterior e da entrada corrigida. Datas de extração, responsáveis pela coleta, métodos de retenção e cada transferência do material devem ser documentados.

A cadeia serve tanto para a investigação pública quanto para a pessoa ou organização que possa contestar a interpretação administrativa.

Essa ordem evita um paradoxo recorrente em sistemas de registro. Quanto maior a urgência de corrigir um dado possivelmente manipulado, maior o risco de que a própria correção altere a evidência. Mas deixar a linha intacta indefinidamente também tem custo: informações desatualizadas ou impróprias continuam orientando consultas, contatos, planejamento e decisões operacionais. A solução não é escolher entre conservar para sempre e apagar imediatamente.

É criar dois planos: um plano probatório congelado, que conserva o que existia e como mudou, e um plano de serviço, no qual a entrada discutida pode ser isolada, sinalizada, corrigida ou revertida mediante fundamento documentado e revisão.

A Resolução 202002.550, listada na seção de fevereiro de 2020 do registro do Conselho da AFRINIC, deve ser lida a partir desse mecanismo. O registro público não informa um dia específico para a resolução. Ele consigna que o Conselho afirmou que uma auditoria interna recente havia revelado substancial “malversação” na alocação de recursos de numeração IP. Consigna também que o assunto já havia sido informado ao Central CID da polícia local para investigação e que, diante de possível dimensão internacional, a AFRINIC cooperaria com as agências de aplicação da lei pertinentes.

Essas são declarações institucionais da AFRINIC sobre o que a auditoria teria encontrado e sobre o encaminhamento realizado; não são uma sentença sobre pessoa alguma.

O vocabulário exige disciplina. A resolução usa termos fortes, inclusive “malversação” e “fraude”, mas a força da palavra corporativa não altera sua categoria jurídica. Ela relata a avaliação da organização e a decisão de encaminhar o assunto. A atualização de fevereiro referiu-se a “suposto roubo”, e a declaração posterior, de agosto, disse que a AFRINIC tinha razões para crer em apropriação indevida. Nenhuma dessas formulações, no material público considerado aqui, equivale a conclusão policial, denúncia do Ministério Público ou julgamento. A investigação criminal ainda era descrita como em curso.

Repetir a alegação sem sua autoria apagaria precisamente a fronteira institucional que a resolução torna visível.

O primeiro elo da sequência, portanto, não é “a AFRINIC provou um crime”. É “uma auditoria interna identificou uma discrepância suficientemente grave para que o Conselho a declarasse e informasse um encaminhamento”. A auditoria pode testar o ambiente que a própria organização controla: arquivos de alocação, registros de aprovação, privilégios de acesso, histórico de atualizações e aderência a procedimentos. Pode identificar exceções e estimar o alcance administrativo de uma falha. Pode preservar documentos e recomendar restrições internas.

Não pode, por conta própria, compelir testemunhas, executar buscas, apreender bens ou produzir uma conclusão penal com autoridade soberana.

Essa limitação não diminui a auditoria; torna sua função mais precisa. Uma boa apuração interna responde o que ocorreu dentro do domínio documental e técnico da organização, quais evidências foram localizadas, quais controles falharam e que risco ainda permanece ativo. Quando encontra indícios que possam interessar à lei penal, ela prepara uma passagem verificável para a autoridade competente. O valor do trabalho não está em imitar a polícia, mas em entregar à polícia material que conserve contexto, procedência e integridade.

Quanto mais claro o limite, menor a tentação de misturar conclusões administrativas, correções técnicas e imputações criminais numa só decisão opaca.

O registro público de fevereiro não traz os papéis de trabalho dessa auditoria. Não oferece inventário integral das evidências, hashes, termos de entrega, recibos do encaminhamento, número de expediente policial ou uma cronologia item por item. Isso impede afirmar que cada etapa recomendável de preservação foi executada de uma forma específica. A ausência pública desses elementos tampouco prova que não existiram.

Ela define um limite de conhecimento: sabemos que a AFRINIC declarou a constatação e o encaminhamento; não sabemos, a partir dos textos publicados, como todo o acervo foi coletado, lacrado, duplicado, transferido ou posteriormente testado.

Esse limite importa porque “preservar” não é sinônimo de guardar uma captura de tela. Um conjunto probatório útil precisa permitir que outra pessoa refaça a lógica da comparação. Qual era a entrada antes da mudança? Qual evento alterou cada campo? Que usuário ou sistema registrou a operação? Havia uma solicitação vinculada? Quem a aprovou e sob qual competência interna? A hora do aplicativo coincide com a hora dos registros de autenticação? Houve intervenção manual ou automação? Os papéis da auditoria mostram quais consultas foram feitas e em que ordem?

Essas perguntas não antecipam culpa; elas reduzem o risco de atribuir a uma pessoa o que pode ter sido falha de processo, credencial comprometida ou erro de sistema.

A integridade também depende de separar originais, cópias de trabalho e versões corrigidas. Se a equipe examina o mesmo banco vivo que continua recebendo alterações, torna-se difícil demonstrar o que existia no momento inicial. Se uma planilha de análise mistura valores extraídos e inferências do auditor, a procedência fica nebulosa. Se a correção substitui silenciosamente a linha anterior, o titular afetado perde a capacidade de entender o que mudou e por quê.

Uma arquitetura prudente conserva o original em regime protegido, trabalha sobre cópias identificadas e registra a correção como um novo evento, com motivo, autorização e referência à evidência que a sustenta.

Há ainda uma diferença essencial entre preservar evidência e congelar o serviço. A AFRINIC presta uma função registral contínua. Um incidente não elimina a obrigação de manter consultas, contatos e atualizações legítimas. A resposta precisa conter o risco sem paralisar todo o sistema. Isso pode exigir limitar privilégios, separar contas, suspender uma rota de atualização específica ou colocar uma entrada sob revisão, sempre com proporcionalidade e documentação. O princípio é conservar a capacidade de provar o passado enquanto se mantém o presente operável.

Preservação não deve virar pretexto para uma indisponibilidade indefinida; continuidade não deve virar desculpa para sobrescrever vestígios.

A atualização publicada pela AFRINIC em 21 de fevereiro informou que a Mauritius Police Force havia iniciado uma investigação e que a organização a apoiava. No mesmo texto, a AFRINIC descreveu separadamente a continuidade do trabalho de controles internos, atividade de recuperação de recursos e atualização do WHOIS. A separação verbal é instrutiva. De um lado, uma investigação pública conduzida pela polícia. De outro, medidas internas e registrais que a organização podia realizar em sua própria esfera. Mesmo que os fluxos trocassem informações, eles não se fundiam numa única autoridade.

Em agosto, a AFRINIC afirmou ter seguido procedimentos de devida diligência para conservar evidências suficientes aos casos em andamento. Também relatou uma auditoria abrangente das alocações existentes no WHOIS, contato com titulares afetados, reversão de algumas entradas e verificação em camadas. São descrições posteriores da própria AFRINIC, úteis para entender a direção do reparo. Não constituem um inventário público completo nem resolvem todas as controvérsias de custódia. Sobretudo, não autorizam retroceder da correção relatada para uma certeza sobre quem teria praticado qual ato.

O relatório anual de 2020 acrescenta uma visão de alto nível. Segundo a AFRINIC, o exame alcançou a custódia legítima e os processos de alocação de recursos IPv4 legados e não legados, e os processos internos e externos receberam múltiplas camadas de verificação. Essa descrição confirma que o problema de registro foi tratado também como um problema de controle.

Mas um resumo anual não substitui os testes detalhados de eficácia: quantas exceções foram reavaliadas, quais permissões foram removidas, como revisores independentes contestaram as correções ou por quanto tempo os novos controles funcionaram sem reincidência não aparecem de forma completa nos documentos públicos.

É justamente nesse intervalo entre o que foi divulgado e o que permanece não demonstrado que a governança deve operar. O Conselho não precisava publicar material sensível que comprometesse uma investigação. Precisava, contudo, dar aos membros uma visão suficientemente clara do processo: que tipo de estado foi preservado, como a separação entre investigação e correção foi mantida, quem autorizou mudanças no registro, que salvaguardas protegeram os afetados e como os controles novos seriam avaliados. Transparência responsável não exige expor provas ou pessoas; exige tornar verificável a arquitetura da resposta.

Uma forma de pensar essa arquitetura é tratá-la como uma série de junções. A primeira une a exceção detectada à evidência original. A segunda une a evidência à decisão de encaminhar. A terceira une o encaminhamento ao recibo da autoridade competente. A quarta une a conclusão administrativa sobre o registro à base que autoriza uma correção. A quinta une a falha concreta ao controle reparado. Se uma dessas junções fica sem documentação, a narrativa pode parecer coerente enquanto o processo continua frágil. Uma resolução pública torna o começo visível; a confiança duradoura depende da qualidade dos elos seguintes.

O desenho mais defensável preserva a possibilidade de revisão em cada passagem. Quem coleta não deveria ser a única pessoa a validar a integridade. Quem recomenda uma correção não deveria executá-la sozinho. Quem administra privilégios não deveria aprovar a própria exceção. Uma segunda pessoa precisa confirmar a correspondência entre arquivo, autorização e alteração proposta. Exceções abertas precisam de responsável, prazo e critério de encerramento. Essas medidas não servem apenas para impedir conduta imprópria.

Elas detectam equívocos honestos, reduzem dependência de uma conta privilegiada e deixam uma trilha que pode ser explicada a uma parte afetada.

O ponto central da camada L3 é simples, embora seu trabalho seja minucioso: o registro corrigido não pode apagar o registro investigável. A AFRINIC tinha dever legítimo de proteger a confiabilidade de sua base e de reagir a indícios graves em seus próprios sistemas. Esse dever começava pela preservação, não pela proclamação de culpa. Um estado original identificável, uma mudança rastreável e uma correção documentada permitem que a polícia investigue, que o titular conteste e que o serviço continue.

Sem essa distinção, a organização correria o risco de destruir evidência ao saneá-la ou de usar a preservação como justificativa para não reparar um dado prejudicial.