Resumo

  • Em 23 de setembro, a LACNIC informou que algumas pessoas inscritas no LACNIC 46–LACNOG 2026 podem ter recebido e-mails oferecendo bases com informações de participantes.
  • A organização afirma que não enviou nem autorizou as mensagens, não vende nem comercializa bases com contatos de inscritos e recomenda não responder, pagar ou fornecer dados pessoais.
  • A página pública do evento mostra nome, organização, modalidade de participação e país, mas não e-mail. Essa superfície permite compilação pública, sem explicar de onde o remetente tirou os endereços usados na campanha.
  • A resposta pública precisa de um estado de origem e classificação que possa evoluir de relato para confirmação ou encerramento, mantendo amostras e identidades em ambiente protegido.

O e-mail chegou. A origem não veio junto.

Essa é a diferença que o aviso da LACNIC precisa conservar. A organização tomou conhecimento de que algumas pessoas registradas podem ter recebido ofertas de bases de participantes. A formulação não apresenta um total confirmado, não descreve uma amostra e não diz que alguém comprou o material. Ela identifica uma abordagem de risco e evita atribuir a origem sem prova.

O comunicado fixa a fronteira institucional. As mensagens não saíram da LACNIC nem foram autorizadas por ela. A LACNIC também declara que não vende ou comercializa bases com as informações de contato de quem se inscreve em seus eventos. Para quem recebeu, a orientação é inequívoca: não responder, não pagar e não compartilhar informação pessoal.

É uma boa primeira resposta. O erro seria transformá-la em uma conclusão que ela própria não traz.

O que quatro colunas permitem fazer

A lista pública do LACNIC 46 apresentava 572 inscrições na observação de 27 de setembro. O número é provisório e não mede presença final. O dado mais importante é a forma da página: nome, organização, participação e país. Nenhuma linha individual foi guardada para esta análise.

Esse desenho torna possível montar uma planilha com dados visíveis. Nomes e organizações podem ser copiados; endereços profissionais podem ser procurados em sites de empresas ou adquiridos de terceiros; o conjunto pode receber o rótulo comercial “participantes do LACNIC 46”. Isso explicaria uma campanha sem exigir acesso à base protegida do evento.

Só que a explicação possível não é uma explicação demonstrada. A página pública não exibe e-mail. O aviso não diz se a base prometida trazia correio eletrônico, telefone, cargo, situação de pagamento ou apenas os quatro campos públicos. Também não diz se o remetente mostrou uma amostra autêntica.

O caminho inverso é perigoso pelo mesmo motivo. Como há lista pública, seria confortável concluir que tudo veio dela. Mas um conjunto pode misturar identificadores públicos com contatos privados, usar uma base antiga ou simplesmente inventar uma exclusividade. Uma exposição interna continua sendo uma categoria possível de investigação, mas não uma constatação pública.

Portanto, a frase correta tem duas metades: o material analisado não confirma vazamento; o material analisado também não prova que vazamento algum ocorreu. A primeira contém o alarme. A segunda mantém a investigação aberta.

Cada camada pede uma prova diferente

Primeiro existe o relato do destinatário. É preciso confirmar que a pessoa estava inscrita e preservar quando e como a mensagem chegou. Isso deve permanecer privado.

Depois existe a mensagem: cabeçalho, infraestrutura do remetente, links, anexos, meio de pagamento e promessa comercial. Uma cópia íntegra vale mais do que uma lembrança; ainda assim, ela prova o conteúdo do contato, não a origem da base.

A terceira camada é o esquema anunciado. Quais classes de campos estavam à venda? Uma descrição agregada — “nomes e organizações” ou “incluía contato não público” — informa mais do que a palavra genérica database e não exige divulgar registros pessoais.

A quarta camada compara fontes. Coincidência com uma página aberta tem peso limitado porque o mesmo dado pode circular em muitos lugares. Um identificador interno, uma sequência exclusiva ou um campo criado depois de uma data conhecida altera a avaliação. A comparação precisa registrar método e limitações.

Só então vem o rótulo operacional. Relato recebido, amostra preservada, esquema observado, compilação pública compatível, enriquecimento externo compatível, exposição interna suspeita, comprometimento confirmado e encerrado sem confirmação descrevem situações diferentes. Uma mudança posterior deve substituir o estado com data e motivo, e não reescrever o passado.

Política, incidente e canal

A política de privacidade da LACNIC abrange inscrições em eventos e cursos. Ela promete tratamento seguro e confidencial, limitação de finalidade e compartilhamento apenas nas hipóteses descritas, como publicação inerente ao serviço, consentimento expresso, fornecedor necessário ou pedido legal válido.

Essa política é a referência para o tratamento dos dados. Não é uma perícia sobre o caso. Uma obrigação escrita não comprova a operação de todos os controles; uma mensagem de terceiros não comprova a falha de um deles.

O LACNIC CSIRT oferece reporte de incidentes, intermediação e alertas, com tratamento confidencial das informações recebidas. Isso demonstra que há uma infraestrutura de resposta. As páginas consultadas não afirmam que o alerta do LACNIC 46 recebeu uma classificação do CSIRT. A matéria não deve inventar esse vínculo.

Para o inscrito, a necessidade é mais modesta e prática. Ele precisa saber que a mensagem não é autorizada, qual é o estado atual da apuração, quais classes de dados estão sendo comparadas, quando houve a última atualização e por onde enviar a amostra sem torná-la pública.

Uma ficha pública, um dossiê protegido

A ficha pública pode identificar evento e versão do aviso; quantidade agregada de relatos autenticados; classes de campos observadas; diferença entre os quatro campos públicos e qualquer categoria não pública; hipótese de origem vigente; canal responsável; horário da revisão; e histórico de correções.

O dossiê protegido conserva nomes, endereços, cabeçalhos, hashes de amostras, arquivos oferecidos, meios de pagamento, infraestrutura do remetente, revisão de acessos autorizados e notas de investigação. Colocar isso na página aberta poderia expor vítimas ou entregar ao fraudador uma segunda distribuição.

Esse desenho protege a LACNIC contra acusações prematuras e protege o público contra encerramento prematuro. O estado “origem não determinada” é legítimo se vier acompanhado daquilo que foi observado e do próximo critério de mudança.

A reportagem anterior sobre a lista do LACNIC 46 discutia consentimento, campos publicados, duração da visibilidade e remoção. O novo aviso não repete essa pergunta. Ele introduz uma oferta comercial não autorizada e exige separar o que era público, o que foi alegado e o que poderia ter vindo de uma fonte protegida.

Não há vergonha institucional em dizer “ainda não sabemos”. O problema começa quando a frase não tem data, responsável ou caminho para deixar de ser verdadeira.

Fontes

  1. LACNIC — Information about LACNIC 46 – LACNOG 2026
  2. LACNIC Eventos — lista pública do LACNIC 46
  3. LACNIC — Política de Privacidade
  4. LACNIC CSIRT — Serviços
  5. LACNIC CSIRT — Perguntas frequentes