GPS Spoofing: o ataque que engana aviões inteiros sem disparar nenhum alarme

Por

Em algum ponto do Mediterrâneo Oriental, um piloto olha para o painel e vê que a aeronave está sobrevoando o Cairo. O problema é que ela está, na realidade, a centenas de quilômetros dali, seguindo normalmente sua rota planejada. Não houve falha de equipamento, não houve perda de sinal, não piscou nenhum aviso vermelho. Os receptores de GPS a bordo simplesmente aceitaram, como verdadeiros, sinais falsos — mais fortes e mais convincentes do que os sinais reais vindos dos satélites a mais de 20 mil quilômetros de distância.

Esse fenômeno tem nome técnico — GPS spoofing, ou falsificação de sinal de navegação por satélite — e deixou de ser uma curiosidade de laboratório de segurança para se tornar uma preocupação operacional registrada, com frequência crescente, por autoridades como a OPS Group, a EASA (Agência da União Europeia para a Segurança da Aviação) e a FAA (Administração Federal de Aviação dos Estados Unidos). Este artigo explica o mecanismo por trás do ataque, por que ele é estruturalmente mais perigoso do que o simples bloqueio de sinal, o que os dados agregados dessas organizações mostram sobre sua expansão, e quais soluções de engenharia já existem — ou estão a caminho — para tornar a navegação aérea mais resiliente a ele.

Jamming e spoofing não são a mesma coisa

Na prática operacional, os dois termos costumam ser citados juntos, mas descrevem ataques com lógicas opostas. O jamming (bloqueio) satura o receptor de GPS com ruído de rádio na mesma faixa de frequência usada pelos satélites, até que o sinal legítimo fique impossível de decodificar. O resultado, do ponto de vista da aeronave, é claro: o receptor perde a capacidade de calcular posição e, na maioria dos sistemas modernos, emite um alerta explícito de perda de sinal ou de integridade degradada. É desagradável, pode forçar a tripulação a recorrer a navegação convencional por rádio-auxílios terrestres, mas é um problema que o sistema reconhece como problema.

O spoofing é outra categoria de ameaça. Em vez de afogar o sinal em ruído, o atacante transmite, a partir do solo, um sinal falso que imita a estrutura de um sinal GPS legítimo — mesmo formato, mesmos códigos de identificação de satélite — só que mais forte. Como o receptor da aeronave está programado para confiar no sinal de maior intensidade e mais bem correlacionado, ele passa a calcular sua posição, velocidade e horário a partir dos dados forjados, sem qualquer indicação de que algo mudou. Uma técnica documentada nesse tipo de ataque é conhecida como “drag-off”: o operador do spoofer começa transmitindo um sinal fraco, sincronizado com o sinal real, e depois aumenta gradualmente sua potência até “arrastar” o receptor para longe da posição verdadeira, de forma suave o bastante para que pequenos desvios sejam inicialmente confundidos com corrente de vento ou erro de instrumento. É essa ausência de alarme — o sistema continua “confiante”, só que errado — que torna o spoofing qualitativamente mais perigoso do que o jamming para a aviação.

Por que o GNSS é, por design, vulnerável a esse tipo de engano

Para entender por que esse ataque funciona, é preciso lembrar como o GPS (e os sistemas GNSS em geral, como o europeu Galileo, o russo GLONASS e o chinês BeiDou) calcula posição. Cada satélite transmite continuamente sua própria localização orbital e uma marcação de tempo extremamente precisa. O receptor a bordo da aeronave capta os sinais de vários satélites simultaneamente — tipicamente quatro ou mais — e mede o tempo que cada sinal levou para chegar. Como a velocidade de propagação do sinal é conhecida (a velocidade da luz), essa diferença de tempo se converte em distância até cada satélite. Cruzando as distâncias de múltiplos satélites, o receptor resolve por trilateração as três coordenadas de posição, mais uma correção de horário — daí a necessidade de pelo menos quatro satélites visíveis.

O ponto frágil desse desenho está na física do próprio sinal. Os satélites GNSS orbitam a cerca de 20 mil quilômetros de altitude e transmitem com potência limitada; ao percorrer essa distância até a superfície, o sinal chega extremamente atenuado — na prática, mais fraco do que o ruído eletromagnético de fundo presente no ambiente. Engenheiros de navegação e timing descrevem essa característica como estrutural: não é uma falha pontual de projeto, mas uma consequência inevitável da distância orbital e da potência de transmissão dos satélites. Essa fraqueza é o que torna o jamming barato — mesmo um transmissor de baixa potência pode ofuscar o sinal real em um raio de vários quilômetros — e é também o que torna o spoofing tecnicamente viável: como os códigos de identificação usados pelo serviço civil do GPS são públicos e não criptografados, um transmissor relativamente simples, posicionado perto do alvo, consegue gerar um sinal falso mais forte que o sinal genuíno vindo do espaço, sem que o receptor tenha, por padrão, qualquer mecanismo para verificar a autenticidade da fonte.

O que os dados agregados de OPS Group, EASA e FAA mostram

A OPS Group, uma organização internacional que reúne pilotos, companhias aéreas, despachantes e controladores de tráfego aéreo, conduziu em 2024 um levantamento amplo sobre o tema, reunindo cerca de 950 participantes do setor entre julho e agosto daquele ano. O relatório final documentou um aumento da ordem de 500% nos casos de spoofing observados ao longo de 2024 em comparação com o início do mesmo ano, com a média diária de voos afetados saltando de cerca de 300, no primeiro semestre, para algo próximo de 1.500 por dia depois disso. Entre os tripulantes que responderam à pesquisa, cerca de 70% classificaram o impacto do spoofing na segurança de voo como “muito alto” ou “extremo”. O levantamento também mapeou zonas geográficas onde o fenômeno havia sido registrado com maior frequência — incluindo áreas do Mediterrâneo, do Mar Negro, do Báltico, do Ártico e regiões próximas a zonas de conflito no Oriente Médio e no sul da Ásia — sem que a organização atribuísse os incidentes individuais a agentes específicos.

A EASA trata o tema por meio de um Boletim de Informação de Segurança (Safety Information Bulletin) dedicado a interferências e alterações em sinais GNSS, atualizado periodicamente desde 2022 — a versão mais recente, de julho de 2026, é já a quarta revisão do documento original, o que por si só indica a persistência e a evolução do problema ao longo dos últimos anos. A agência descreve explicitamente por que trata spoofing como mais crítico do que jamming em termos regulatórios: por ser mais difícil de detectar e por poder afetar simultaneamente múltiplos sistemas de bordo que dependem de posição e horário GNSS, criando um efeito cumulativo de erro que um único alerta isolado não captura.

Do lado americano, a FAA emitiu em janeiro de 2024 o SAFO 24002 (Safety Alert for Operators), reconhecendo o crescimento de incidentes de jamming e spoofing “em e ao redor de zonas de conflito, áreas de operações militares e regiões de proteção contra aeronaves não tripuladas não autorizadas”. O documento lista efeitos técnicos concretos observados em aeronaves comerciais: perda de capacidades de navegação de área (RNAV) e de performance de navegação requerida (RNP), acionamento incorreto de sistemas de alerta de proximidade do solo (TAWS), exibição de posição incorreta em displays de navegação, degradação ou perda de saídas do sistema ADS-B de vigilância dependente automática, e até erros em cálculos de combustível feitos pelo sistema de gerenciamento de voo. Nenhuma dessas três fontes — OPS Group, EASA ou FAA — atribui incidentes específicos a autores determinados; todas tratam o problema como um padrão técnico regional a ser mitigado operacionalmente, não como matéria de acusação.

Redundância, verificação e a corrida por soluções técnicas

A resposta da engenharia de aviação a esse problema segue, em linhas gerais, três frentes complementares. A primeira é a navegação inercial (INS), um sistema autônomo baseado em acelerômetros e giroscópios que calcula posição a partir do próprio movimento da aeronave, sem depender de nenhum sinal externo — e, portanto, imune a spoofing e jamming por definição. A prática recomendada é manter o INS constantemente calibrado (“disciplinado”) pelo GNSS enquanto o sinal de satélite está confiável, para que, se e quando esse sinal for perdido ou corrompido, o sistema inercial já parta de uma referência recente e acumule erro de deriva muito mais lentamente do que partiria em operação isolada.

A segunda camada é o RAIM (Receiver Autonomous Integrity Monitoring), uma função já embarcada em receptores GPS de aviação que verifica a consistência entre os sinais recebidos de diferentes satélites, comparando-os entre si para detectar quando algum deles está degradado, indisponível ou inconsistente com os demais — emitindo alertas em texto na tela do sistema de gerenciamento de voo ou do display eletrônico de instrumentos quando a integridade do posicionamento não pode ser garantida. O RAIM foi originalmente concebido para identificar falhas técnicas de satélites, não ataques deliberados; pesquisas acadêmicas recentes têm explorado seu uso combinado com dados de navegação inercial justamente para ampliar sua capacidade de sinalizar também spoofing coordenado, mas trata-se de uma camada de detecção estatística, não de uma verificação criptográfica da origem do sinal.

É exatamente essa lacuna — a ausência de uma forma de comprovar que um sinal realmente veio do satélite que afirma ser — que o Galileo, o sistema de navegação por satélite da União Europeia, começou a endereçar diretamente. Em julho de 2025, o serviço OSNMA (Open Service Navigation Message Authentication) do Galileo atingiu status operacional, tornando-o, segundo a Agência da União Europeia para o Programa Espacial (EUSPA), o primeiro sistema GNSS a oferecer autenticação de sinal aberta ao público em escala global. O OSNMA funciona por meio de criptografia de chave pública: dados de autenticação são transmitidos em campos previamente reservados da mensagem de navegação do sinal Galileo E1, e o receptor usa uma chave pública para verificar que aquela mensagem foi de fato gerada pelo sistema Galileo — não por um transmissor terrestre disfarçado. O serviço é gratuito, não exige hardware adicional caro e, segundo a EUSPA, já há planos de estender princípios semelhantes de autenticação também a sinais do GPS no futuro. Vale registrar que pesquisadores acadêmicos já demonstraram, em ambiente controlado, técnicas experimentais para tentar contornar limitações específicas do protocolo — um lembrete de que autenticação criptográfica reduz drasticamente, mas não elimina por completo, a superfície de ataque, e de que o tema deve continuar em evolução.

O que isso significa para a indústria daqui para frente

Nenhuma dessas soluções, isoladamente, resolve o problema por completo — e é justamente por isso que reguladores e fabricantes têm insistido em abordagens de múltiplas camadas, combinando navegação inercial, monitoramento de integridade, autenticação criptográfica de sinal e manutenção de infraestrutura convencional de rádio-navegação em solo como rede de segurança. O crescimento documentado de incidentes nos últimos anos não significa que voar tenha se tornado mais perigoso no sentido estatístico — significa que uma dependência que antes era tratada como praticamente infalível revelou uma vulnerabilidade estrutural que agora exige investimento deliberado em redundância. Essa é, talvez, a lição mais importante do episódio: sistemas de navegação por satélite trouxeram precisão extraordinária à aviação civil, mas nenhuma tecnologia única — por mais precisa que seja — deveria ser o único fio que sustenta a posição de uma aeronave no céu.

Fontes citadas neste artigo:

Deixe um comentário