Big Brother real: vazamento de senhas expõe 5 mil câmeras
Lucas Paglia, vice-presidente da Rede Governança Brasil, alerta que o mesmo tipo de falha já custou quase R$1 bilhão aos bancos e ameaça empresas de todos os setores
Seis logins e senhas vazados foram suficientes para abrir as imagens de mais de 5 mil câmeras privadas espalhadas por sete unidades da federação, de São Paulo ao Amapá. Levantamento divulgado nesta segunda-feira (9) encontrou desde a garagem de uma residência em Taguatinga (DF) até o interior de uma unidade de pronto-atendimento em Curitiba e de diversas empresas em Macapá. As credenciais pertenciam a usuários de redes de câmeras hospedadas na nuvem de duas empresas e parte delas não contava com autenticação em dois fatores.
O caso chega poucas semanas depois da revelação de brechas no Smart Sampa, programa de videomonitoramento da Prefeitura de São Paulo, que permitiam acessar mais de 58 mil câmeras, inclusive em creches, escolas e unidades de saúde. Em seguida, outra falha liberava, sem login, as transmissões de 17 mil câmeras de parceiros privados do programa. A prefeitura trocou senhas, tornou obrigatória a autenticação multifator e substituiu a coordenação de tecnologia do sistema.
Para Lucas Paglia, vice-presidente da Rede Governança Brasil e sócio da LP Consultoria, os episódios repetem um padrão que o mercado já deveria conhecer: a porta aberta raramente é a do dono da casa. As senhas circulam a partir de programas maliciosos instalados nos aparelhos de quem usa o sistema, de técnicos que repetem a mesma combinação em vários equipamentos, de plataformas operadas por terceiros. “Quem contrata uma rede de câmeras na nuvem, um software de folha de pagamento ou um call center está entregando uma chave da própria empresa. A pergunta que quase ninguém faz é quantas cópias dessa chave existem e com quem elas estão”.
O sistema financeiro aprendeu essa lição da forma mais cara. Em julho de 2025, o ataque à C&M Software, que conectava instituições de menor porte à rede do Banco Central, desviou cerca de R$813 milhões, segundo a Polícia Federal, depois que um funcionário vendeu suas credenciais. Em janeiro deste ano, o Banco do Nordeste precisou suspender o Pix por três dias após uma invasão que, segundo as informações divulgadas, partiu de um prestador de tecnologia. O impacto, de R$146,6 milhões, apareceu como item não recorrente no balanço do primeiro trimestre. “Nenhum dos bancos afetados foi invadido no sentido clássico. Todos confiavam em alguém que foi”, resume Paglia.
Depois da sequência de ataques, o Banco Central endureceu as exigências de credenciamento, segurança e controle para os provedores conectados ao sistema financeiro. Fora desse perímetro, porém, varejo, saúde, indústria, educação e logística dependem de redes de fornecedores igualmente extensas, sem a mesma vigilância. “Cada contrato desses abre uma porta para dentro da companhia. Só que, nesses setores, não existe um regulador obrigando alguém a saber quem está do outro lado”.
Segundo o especialista, a fragilidade nasce na contratação. “O fornecedor de tecnologia ainda é tratado como compra e não como risco. O jurídico confere preço, prazo e multa rescisória, o financeiro negocia desconto, e raramente alguém pergunta como aquele parceiro vai proteger as credenciais que recebe ou quem lá dentro terá acesso às informações”. Encerrado o serviço, acrescenta, é comum que o acesso continue liberado por anos.
Há ainda um equívoco jurídico recorrente, o de acreditar que, se a falha ocorreu no prestador, o problema é dele. Pela LGPD, imagens que permitem identificar pessoas também são dados pessoais e a empresa que decide para que esses dados são tratados responde perante o titular e a ANPD. O operador só divide essa responsabilidade em hipóteses previstas na lei. “Para quem teve a informação exposta, pouco importa em qual servidor a falha aconteceu. A marca que ele conhece é a sua”.
Paglia não defende transformar cada compra em auditoria. A recomendação é separar os terceiros pelo grau de exposição que representam. Quem lida com dados sensíveis ou sistemas críticos deve passar por avaliação antes de entrar, assinar cláusulas que obriguem a comunicação de incidentes em prazo curto e ter seus acessos revistos periodicamente. Os demais podem seguir o fluxo normal de compras. “O erro está em tratar os dois da mesma maneira”.
Ao conselho que quiser medir sua exposição real, ele propõe começar por uma pergunta simples: “Quantas empresas, hoje, têm alguma chave da nossa casa? Se a resposta demorar, isso já é um diagnóstico”.
Sobre
Lucas Paglia é advogado especializado em direito digital, com foco em cybersegurança, proteção de dados e compliance regulatório. Vice-presidente da Rede Governança Brasil (RGB) e uma das principais referências nacionais em proteção de dados, governança e cibersegurança, com especialização pela Universidade de Harvard. Também é membro da Associação Brasileira de Inteligência Artificial e possui forte atuação institucional em entidades da América Latina. Como educador, já formou mais de 4 mil alunos em proteção de dados, é professor em instituições como Puccamp e SEBRAE Nacional.
