O que o ataque ao SmartHRMS afetou — e o que ainda não se sabe

O ataque de ransomware atingiu o SmartHRMS, sistema de recursos humanos e folha de pagamento fornecido pela Avelogic, e não a prestação de serviços religiosos ou de atendimento ao público pelo Conselho Religioso Islâmico de Singapura (MUIS). Para manter os salários em dia, o conselho adotou procedimentos alternativos enquanto a fornecedora investigava o incidente.316

Quem foi afetado? Os salários estão garantidos?

Entre os usuários afetados no setor comunitário, o MUIS citou 48 mesquitas, quatro madraças — instituições de ensino islâmico —, o Islamic Learning Hub and Management Office (ILHAM) e o Mosque-Madrasah-Wakaf Shared Services (MMWSS). A plataforma também atendia clientes de outros setores. Segundo o conselho, as medidas alternativas foram adotadas para que os funcionários afetados de mesquitas e madraças recebessem seus salários no prazo, sem interrupção dos serviços religiosos ou voltados ao público.3

Houve roubo de informações dos funcionários?

Isso ainda não foi estabelecido. Nomes, contatos, salários e números de contas bancárias foram apontados como informações que podem ter sido expostas — não como dados comprovadamente roubados. As informações disponíveis tampouco especificam quantas pessoas foram afetadas ou exatamente quais dados, se houver, foram comprometidos.617

A Avelogic afirmou que uma análise forense independente não encontrou indícios de extração de dados em grande escala nos registros de rede disponíveis da Amazon Web Services relativos à atividade confirmada dos invasores entre 30 e 31 de agosto de 2026. A empresa também disse que os principais campos de dados sensíveis do SmartHRMS eram protegidos por criptografia na própria aplicação. Essas conclusões descrevem o que foi possível verificar com as evidências examinadas; não provam que nenhuma informação tenha sido acessada ou levada.7

O que foi criptografado? O sistema já voltou?

No aviso sobre o incidente, a Avelogic informou que o ransomware criptografou os bancos de dados e as cópias de segurança vinculadas ao sistema, interrompendo o acesso. Essa criptografia feita pelos invasores é diferente da proteção aplicada aos campos sensíveis da plataforma. Mais tarde, o MUIS informou que a Avelogic havia recuperado os dados afetados — o que não equivale a confirmar que os clientes já podiam usar um SmartHRMS totalmente restabelecido.2073

Reportagens anteriores mencionaram 18 de setembro como meta para a restauração, mas as evidências disponíveis não confirmam que o serviço tenha voltado nessa data. O MUIS disse que as investigações e verificações de segurança continuavam.1016

Em que pé estão as apurações?

Segundo o MUIS, foi feito um boletim de ocorrência, nenhum resgate foi pago e a Avelogic continuava a investigar o incidente e seus possíveis efeitos mais amplos. O aviso da empresa também registra uma comunicação à Comissão de Proteção de Dados Pessoais de Singapura (PDPC). As informações disponíveis não estabelecem o resultado da apuração policial nem o andamento ou as conclusões de uma eventual investigação separada da PDPC.320