Seis credenciais, milhares de câmeras: o vazamento que expõe clínicas, lojas e casas nas cinco regiões

Seis credenciais, milhares de câmeras: o vazamento que transforma CFTV privado em janela aberta

O ciclo das últimas 24 horas fecha com um retrato desconfortável: o problema brasileiro de exposição de câmeras não está mais concentrado em uma plataforma pública de videomonitoramento, mas na credencial de acesso de integradores e provedores privados de CFTV. Levantamento publicado na manhã desta segunda-feira mostra que um punhado de logins vazados basta para abrir milhares de dispositivos nas cinco regiões do país — de unidades de pronto-atendimento a imóveis residenciais. Na mesma janela, a Europa vê a extorsão chegar a uma obra de infraestrutura de € 11,7 bilhões, o Japão libera dinheiro emergencial depois de uma onda de vazamentos e uma emissora de cartões cripto revela que o sistema legado, aquele que ninguém mais olhava, era o ponto mais frágil.

O que o levantamento encontrou

O UOL publicou, às 5h30 desta segunda-feira (9), uma apuração que cruzou bases de credenciais vazadas com sistemas privados de gestão de câmeras. O resultado: apenas seis credenciais foram suficientes para acessar milhares de câmeras espalhadas por todas as regiões brasileiras, com visão de locais públicos e de interiores de imóveis particulares. O material jornalístico inclui, como prova, imagens do interior de uma unidade de pronto-atendimento em Curitiba obtidas por meio de uma dessas credenciais.

O ponto técnico central aqui não é uma falha de software recém-divulgada, e sim higiene de identidade . Três padrões explicam a maior parte do fenômeno:

Credencial de integrador com escopo total. Empresas de instalação e monitoramento costumam manter um usuário único para provisionar, atualizar firmware e dar suporte a dezenas ou centenas de clientes. Quando essa conta vaza, o atacante não ganha uma câmera: ganha o parque inteiro.

Reuso de senha e ausência de MFA. Plataformas de CFTV em nuvem e apps de visualização remota raramente exigem segundo fator, e o mesmo login tende a reaparecer em vazamentos de fóruns e serviços de terceiros.

Conectividade exposta por conveniência. Túneis P2P proprietários, UPnP e encaminhamento de portas em DVRs/NVRs mantêm RTSP (554), HTTP de interface web e APIs móveis publicados na internet. Uma vez autenticado, o atacante tem vídeo ao vivo, gravações históricas e, em muitos modelos, o próprio sistema de arquivos do gravador.

Vale separar este episódio do caso Smart Sampa, que dominou a semana passada. Lá, o vetor foi falha de configuração em plataforma pública de videomonitoramento urbano ; aqui, é credencial vazada em sistemas privados de terceiros , com abrangência nacional e vítimas que nunca souberam que suas câmeras estavam publicadas.

O que está efetivamente em jogo

O impacto não se mede pelo número de dispositivos, mas pelo que cada dispositivo enxerga.

Ambientes assistenciais e de saúde , com pacientes identificáveis em macas, recepções e corredores — dado sensível sob a LGPD e cenário clássico de dano reputacional e litígio.

Mapeamento de rotina para fins criminosos: horários de abertura de caixa, posição de cofres, fluxo de funcionários, ausência de moradores em residências.

Imagens de crianças e adolescentes em escolas, creches e condomínios, com restrição legal específica de tratamento.

Reconhecimento facial acoplado : quando o gravador exposto tem motor analítico, o vazamento deixa de ser de imagem e passa a ser de biometria e de histórico de eventos .

Cadeia de suprimentos : integradores comprometidos viram vetor para entrar na rede do cliente, porque o túnel do CFTV é, no fim, uma conexão de confiança entre duas infraestruturas.

Do lado regulatório, a exposição por credencial de terceiro não afasta o dever do controlador. O artigo 46 da LGPD exige medidas de segurança aptas a proteger dados pessoais, e o artigo 48 impõe comunicação à ANPD e aos titulares em prazo razoável quando houver risco relevante. "Foi o fornecedor" explica a causa, não elimina a responsabilidade.

Mitigação: o que fazer nas próximas horas

A rotação de senha é o primeiro passo, mas isolada ela apenas adia o problema. A sequência que efetivamente reduz superfície de exposição é esta:

Inventariar todos os usuários de integrador e aplicar princípio do menor privilégio por cliente , eliminando contas compartilhadas e genéricas.

Ativar MFA em toda plataforma de CFTV que ofereça o recurso e revogar sessões ativas após a troca de credencial.

Desligar P2P/UPnP e publicar o acesso remoto apenas por VPN ou broker autenticado, com lista de permissões.

Isolar câmeras e gravadores em VLAN própria, sem rota para a rede corporativa e com bloqueio de saída para a internet.

Atualizar firmware e verificar modelos em fim de vida — gravadores antigos concentram falhas conhecidas e nunca receberão correção.

Monitorar tentativas de login e horários anômalos de acesso às gravações, com retenção de log suficiente para perícia.

Assinar contrato com cláusula de notificação imediata de incidente por parte do integrador, exigindo o mesmo do subcontratado.

Brenner: 812 GB reivindicados e a nova fronteira da extorsão

A BBT SE, empresa que constrói o túnel ferroviário de base do Brenner entre Itália e Áustria, confirmou acesso não autorizado a parte de seus dados corporativos. A intrusão é situada em 17 de outubro de 2026 , com entrada por sistemas alcançáveis pela internet. O grupo de extorsão Everest reivindica 812 GB de arquivos associados ao domínio da companhia e afirma aguardar negociação; a obra, segundo a empresa, seguiu sem impacto operacional. A investigação corre na Itália, e a Europol deve reunir nesta semana as polícias dos países afetados por ataques correlatos — a mesma onda que teria atingido o grupo Smartbox.

O recado analítico é duplo. De um lado, obras de infraestrutura são alvos de alto valor simbólico: mesmo dados periféricos — plantas, procedimentos de sítio, cronogramas, contatos de fornecedores — alimentam pressão reputacional e engenharia social contra subcontratados. Do outro, há um limite claro: tratar toda reivindicação de grupo de extorsão como fato consumado é entregar amplificação de graça a quem opera propaganda. A postura correta é confirmar o acesso, mensurar o conjunto de dados afetado, comunicar com precisão e não transformar estimativa de atacante em manchete.

Japão: US$ 63 milhões e uma equipe de "top gun" em novembro

Em 6 de novembro, o governo japonês aprovou um pacote emergencial de 10 bilhões de ienes (cerca de US$ 63 milhões) , retirados da reserva orçamentária, depois de uma sequência de vazamentos de grande porte em empresas e órgãos públicos. O plano, discutido em conselho ministerial liderado pela primeira-ministra Sanae Takaichi, se organiza em quatro pilares:

uso de IA para varredura e identificação de vulnerabilidades em redes, somado a medidas básicas de segurança;

reforço da coleta de informações e da capacidade de investigação;

criação de uma equipe de especialistas de alto nível — os chamados "top gun" — já neste mês, com testes de intrusão simulados;

apoio às vítimas e contenção do dano secundário, com equipes mistas público-privadas de resgate cibernético e canal de atendimento.

O diagnóstico oficial é o mais relevante para quem administra sistemas: os vazamentos recentes decorreram majoritariamente de falhas básicas — vulnerabilidade conhecida sem patch, configuração incorreta de sites e ausência de controles na fase de desenvolvimento, tanto na própria organização quanto em fornecedores. O governo também determinou estudos para revisar a lei de ciberdefesa ativa. Ou seja: o investimento em IA entra não para substituir o básico, mas porque o básico falhou em escala e velocidade.

Gnosis Pay: o sistema legado que ainda estava de pé

A emissora de cartões vinculados a criptoativos Gnosis Pay confirmou acesso não autorizado ao sistema legado que suporta seus cartões próprios de consumidor. A detecção ocorreu em 3 de novembro , com contenção declarada em cerca de duas horas, substituição de credenciais afetadas e correção da vulnerabilidade. Segundo relatos de usuários e da imprensa especializada, os dados envolvidos incluem nome, endereço residencial, número do cartão e as carteiras cripto vinculadas à conta — combinação que habilita golpes de engenharia social altamente convincentes, com falsos "suportes" pedindo assinatura de transação ou recuperação de acesso. A empresa afirma que fundos e a plataforma corporativa de parceiros não foram atingidos.

O detalhe que merece atenção de qualquer equipe de infraestrutura: a plataforma de consumo será desativada em 20 de dezembro . Um sistema com data marcada para morrer é justamente onde a manutenção de segurança costuma parar antes da data — e onde a credencial permanece válida por mais tempo do que deveria.

A tendência que atravessa os três casos

Os três episódios desta janela apontam para a mesma direção: o ativo crítico é a credencial, e o ponto cego é o que não está no inventário . Câmera de terceiro, sistema legado marcado para desligamento, servidor de obra de infraestrutura alcançável pela internet — nada disso costuma aparecer no painel de gestão de vulnerabilidades corporativo, mas tudo isso autentica, executa e persiste. A resposta madura combina inventário de identidades não humanas, redução de conectividade publicada, autenticação forte em qualquer coisa com acesso remoto e um plano de comunicação de incidente que não dependa da versão do atacante.

Se você administra CFTV, infraestrutura de obra, fintech ou qualquer ambiente com fornecedor conectado, comece hoje pelo mais barato: liste quem tem acesso total ao seu parque, revogue o que não deveria existir e meça quantos ativos respondem diretamente na internet. O resto é consequência.

Assine a newsletter e receba este panorama técnico todas as manhãs. E compartilhe este texto com a equipe de segurança e com o responsável pelo CFTV da sua organização — a maioria dos casos acima começou com uma senha que ninguém sabia que existia.

Fontes