A mesma gangue que destruiu os aeroportos europeus está agora reivindicando o código-fonte proprietário da Boeing, levantando questões para E&O cibernético e tecnológico
A gangue de ransomware do Everest alega ter exfiltrado o código-fonte proprietário da Boeing de uma violação da transportadora FlyDubai dos Emirados Árabes Unidos – uma alegação que, se verificada, levanta questões de propriedade intelectual e responsabilidade tecnológica muito além de uma violação de dados padrão.
O Everest listou o FlyDubai em seu site de vazamento na dark web com um período de negociação de seis dias, de acordo com a Cybernews, que relatou a listagem pela primeira vez. Nenhuma amostra de dados foi divulgada publicamente para verificar as reivindicações, e a FlyDubai não respondeu publicamente no momento da redação deste artigo.
O suposto conjunto de dados totaliza 4,36 GB e inclui registros pessoais de 2.862 funcionários, materiais de treinamento de pilotos, diretrizes operacionais sobre procedimentos críticos de segurança e o que o Everest afirma serem 2.827 arquivos de código-fonte Java para a Ferramenta de Engenheiros de Desempenho da Boeing – software usado para calcular pesos de decolagem, distâncias de pouso, planejamento de combustível e cenários de parada de motor. Mais de 2.000 desses arquivos estão supostamente marcados como “Proprietário, Confidencial e/ou Segredo Comercial da Boeing”. Um manual do motor CFM de 190 páginas e um guia Airbus ETOPS, ambos marcados como confidenciais, também são reivindicados.
Os investigadores da Cybernews alertam que os alegados dados podem apoiar ataques de phishing e engenharia social contra funcionários de companhias aéreas e representam riscos jurídicos e de inteligência competitiva para a transportadora.
Por que a reivindicação do código-fonte da Boeing muda o cenário do seguro
Uma violação padrão de ransomware contra uma companhia aérea desencadeia questões de cobertura familiares: interrupção de negócios cibernéticos, custos de notificação, gestão de crises. A reivindicação do código-fonte da Boeing introduz uma categoria totalmente diferente de exposição.
Se o código de software proprietário pertencente à Boeing for exfiltrado através dos sistemas de um operador a jusante, a cadeia de responsabilidade de IP funciona em múltiplas direções. A Boeing pode ter reclamações contra a FlyDubai por não proteger seu material confidencial sob acordos de licenciamento ou fornecimento. Terceiros que confiam na integridade dos cálculos da Performance Engineers Tool – incluindo outras companhias aéreas, organizações de manutenção e reguladores – podem enfrentar reclamações se o código for adulterado ou se o conhecimento das suas vulnerabilidades for explorado. E a própria FlyDubai enfrenta uma potencial exposição tecnológica E&O se o seu tratamento dos sistemas proprietários da Boeing ficar abaixo do padrão de cuidado contratual ou regulamentar.
Para os subscritores de E&O de tecnologia e de responsabilidade profissional com clientes da aviação ou aeroespacial, a questão é se essas políticas contemplam a exfiltração de IP de terceiros como um gatilho coberto – ou se cai numa lacuna entre a política cibernética e a política de E&O que nenhuma delas foi escrita para resolver.
Um padrão do setor de transportes que vai além da aviação
O Everest não é um ator periférico. O grupo ligado à Rússia está por trás do ataque Collins Aerospace que interrompeu os aeroportos europeus, uma violação do distribuidor da Coca-Cola no Oriente Médio e os ataques de 2026 ao Frost Bank e ao Citizens Bank nos EUA, de acordo com a Cybernews. A sua operação como corretora de acesso inicial – vendendo pontos de apoio na rede quando a extorsão direta falha – significa que uma violação confirmada da FlyDubai pode gerar incidentes a jusante em parceiros ou fornecedores conectados.
O padrão mais amplo é importante para corretores cujos clientes não são companhias aéreas. Como informou o IBA, Autoridades dos EUA embarcaram em dois navios petroleiros em agosto de 2026 após incidentes cibernéticos em que os sistemas da casa de máquinas foram supostamente manipulados.
Harriet Gruen, chefe de inteligência de ameaças cibernéticas da Howden Re, disse à IBA que “à medida que os navios se tornam mais conectados e os requisitos de relatórios melhoram, devemos esperar maior visibilidade da atividade cibernética que afeta as operações marítimas”. A mesma dinâmica aplica-se a qualquer sector onde a tecnologia operacional está cada vez mais ligada em rede – logística, produção, energia, infra-estruturas críticas. O sector dos transportes é onde essa exposição é mais visível neste momento, mas não é onde ela pára.
Para os corretores com clientes nesses setores, o incidente FlyDubai é um estímulo para verificar três coisas antes da próxima renovação: se as políticas cibernéticas cobrem a exfiltração de dados proprietários de terceiros, distintos dos dados pessoais; se a interrupção dos negócios se estende por um período de negociação de ransomware; e se a tecnologia E&O contempla a responsabilidade de IP de um evento cibernético. O cronômetro de seis dias que o Everest definiu pode ou não produzir uma resolução. De qualquer forma, os dados que a gangue afirma possuir não se tornam menos sensíveis se a FlyDubai pagar. Simplesmente muda quem o detém.
