17/03/2026, 3h37 — Ataque apaga servidores do Metrô de Los Angeles, rouba mais de 1 TB e investigadores apontam grupo ligado ao Irã

Metrô ficou sem serviços essenciais; peritos da Gambit Security ligam operação a um coletivo conhecido por destruir sistemas

Ao som do primeiro turno da madrugada, redes internas do Los Angeles County Metropolitan Transportation Authority foram invadidas e dezenas de máquinas virtuais apagadas. O incidente — registrado às 3h37 (Brasília UTC-3) em 17/03/2026 — deixou passageiros sem acesso a recarga do cartão TAP e provocou perda massiva de arquivos: mais de 1 TB de dados e dezenas de milhões de registros, segundo investigação da Gambit Security.

O ataque em tempo real

Relatos e logs mostram duas táticas combinadas. Scripts automatizados varreram sistemas e eliminaram discos inteiros em sequência. Em paralelo, operadores acessaram painéis de gerenciamento e apagaram arquivos manualmente, como um administrador faria. O ponto de entrada apontado foi o vCenter, a plataforma usada para gerir máquinas virtuais; a partir daí atacantes desligaram e removeram VMs diretamente.

Mensagem e autoria

O ataque foi reivindicado por um coletivo que se identifica como Ababil of Minab. Para os peritos, porém, a assinatura operacional corresponde a um grupo já conhecido por ações destrutivas: o Black Shadow, que autoridades e analistas associam a estruturas de inteligência iranianas — incluindo ligações com o MOIS, segundo a Gambit.

Não foi apenas o metrô

A investigação mapeou uma cadeia de vítimas em três continentes. Além do LA Metro, foram atacadas a South Florida Regional Transportation Authority e empresas privadas — entre elas a saudita UNIMAC, cuja cadeia de backups foi apagada a partir do próprio software de proteção; e a americana Vyncs, onde 58 bancos de dados SQL Server foram eliminados por um script em sequência.

Como os invasores exfiltraram dados

Antes de apagar sistemas, os criminosos copiaram e transferiram arquivos por meios discretos. Em alguns casos os arquivos foram compactados e enviados para áreas internas das próprias vítimas para posterior download. Em outros, os invasores usaram uma ferramenta customizada, batizada por peritos como FileFiend, capaz de varrer discos e enviar conteúdo para servidores controlados externamente.

Vestígios técnicos e métodos de ocultação

Análises de tráfego e gravações públicas do grupo exibem técnicas para camuflar a origem das conexões: ações que incluem tunelamento de acesso remoto por servidores intermediários e o uso de proxies para mascarar endereços. Logs de software corporativo de backup registraram exclusões em massa, confirmando que os atacantes não só roubaram dados como eliminaram a possibilidade imediata de recuperação.

Imagem: Divulgação

Vítimas não divulgadas e alcance geopolítico

A Gambit aponta ainda alvos omitidos publicamente: uma empresa de mídia em Israel, uma universidade israelense e uma corretora na Turquia. O padrão — invasão, extração e destruição — caracteriza uma operação que extrapola o crime econômico e ganha contornos geopolíticos, afetando infraestrutura e serviços essenciais.

Impacto operacional e fases de recuperação

Equipes de TI precisaram checar centenas de servidores antes de restabelecer funcionalidades. Em vários locais, a recuperação dependia de verificar integridade de discos e reconstruir ambientes virtuais; em outros, a ausência de backups íntegros complicou a restauração. O custo operacional e o tempo de inatividade ainda estão sendo contabilizados pelas organizações atingidas.





Por que este caso importa

O incidente em Los Angeles mostra duas tendências simultâneas: invasores que combinam automação e ação manual para maximizar destruição; e operações coordenadas com alcance internacional, que atingem tanto serviços públicos quanto empresas privadas. A combinação de exfiltração massiva de dados e eliminação de backups eleva o ataque ao patamar de evento crítico para segurança digital e continuidade de serviços.

Investigação em andamento

Autoridades e especialistas continuam a analisar vestígios e infraestruturas usadas pelos atacantes. A identificação de infraestrutura compartilhada com operações anteriores foi um dos elementos que levou peritos a associar a ação ao Black Shadow. A apuração segue para definir responsabilidade plena e mapear a extensão total dos danos.