Alerta da defesa civil

(00:05) Sejam todos muito bem-vindos e bem-vindas. Estamos de volta com o Segurança Legal, seu podcast de segurança da informação, Direito da Tecnologia e Tecnologia e Sociedade. Eu sou o Guilherme Goulart e aqui comigo está o meu amigo Vinícius Serafim.

(00:23) E aí, Guilherme, tudo bom? Olá aos nossos ouvintes. Sempre lembrando que, para nós, é fundamental a participação de todos por meio de perguntas, críticas e sugestões de temas. Você pode nos contatar pelo e-mail [email protected], YouTube, Mastodon, Bluesky, Instagram e TikTok, além do blog da BrownPipe. Você pode acessar o site brownpipe.com.br.

(00:49) Aproveite e dê uma navegada no site da BrownPipe, empresa mantenedora deste podcast, que está prestes a completar 15 anos no ano que vem. A BrownPipe, junto com os nossos apoiadores, é a fonte que mantém esse podcast independente. Se você quiser, pode também nos apoiar em apoia.se/segurancalegal.

(01:18) Vinícius, antes de começar, gostaria de mandar um abraço ao Wilson da Costa, meu aluno no CESUCA, que, no episódio passado, nos avisou que erramos o número do episódio.

(01:47) Ele mandou uma mensagem — você também me avisou no mesmo dia, assim como a Camila, nossa produtora. O Wilson mandou uma mensagem porque eu não sabia que ele escutava o podcast. É estudante de direito, mas também contador, e se interessou pelos temas — estava maratonando,

(02:06) chegando a ouvir dois, três episódios por dia. Muito legal — é um cara bacana, ótimo aluno. Fica o abraço ao Wilson, novo ouvinte do Segurança Legal.

(02:40) Vamos falar sobre o tema da vez, que não quer calar. Confesso que estávamos conversando antes e pensávamos em fazer um episódio de café, com apanhado de notícias, mas não podíamos ignorar esse assunto, cheio de nuances — um problema que, na nossa opinião, é sério, talvez até mais sério do que a imprensa está colocando: a invasão do sistema Defesa Civil Alerta, que funciona sobre a infraestrutura de cell broadcast, ou seja, aquela tecnologia que permite encaminhar mensagens de alta criticidade para todos os celulares de uma determinada região.

(03:21) Sistema criado para situações de risco que possam atingir a população. Vou apresentar os fatos, e você me interrompe, Vinícius, para complementar.

(03:43) Vamos colocar também algumas contradições da imprensa — algo que já nos incomoda há um tempo e reaparece aqui — e depois especular, já que ainda não temos todas as informações técnicas disponibilizadas pelas autoridades sobre causas e problemas. Entre os dias 19 e 20 de junho de 2026, tivemos essas mensagens disparadas na madrugada de sábado.

(04:15) Alguém, potencialmente usando credenciais legítimas de agentes da Defesa Civil do Pará, disparou cerca de 10 alertas falsos, cadastrados como de nível extremo, pelo Sistema Nacional de Defesa Civil Alerta, na camada de cell broadcast — episódio ocorrido na madrugada de sábado. Isso acordou diversas pessoas em vários estados diferentes.

Não vamos divulgar aqui o nome do provável atacante, que se autoidentificou publicamente, atribuindo a si a autoria por meio de um apelido (nick) usado na mensagem. Vamos deixar essa questão de lado

(04:51) para irmos direto aos pontos que mais importam — a questão de dar palco ao atacante.

(05:21) Uma coisa é quando alguém encontra uma vulnerabilidade, comunica os responsáveis pelo sistema, eles não tomam nenhuma ação, e então a pessoa vem a público denunciar: "existe a vulnerabilidade, eu poderia ter feito isso ou aquilo, aqui está a prova" — sem efetivamente causar dano.

(06:12) Esse é um primeiro aspecto: a ação não parece ter sido feita de boa-fé, nem seguiu a chamada ética hacker, em que não se explora efetivamente a falha nem se causa dano.

Um segundo aspecto é essa questão de dar voz a situações claramente criminosas, quando há uma invasão que não segue os princípios mencionados antes. Já temos um histórico — inclusive coleção própria de casos, com prints de tela — de situações em que alguém invade um sistema sem se identificar,

(06:40) procura a mídia, e a mídia dá voz para essa pessoa falar o que quiser, ficando tudo no campo da afirmação e da especulação.

(07:12) Enquanto isso, quem sofreu a ação criminosa — a vítima, num primeiro momento — acaba tendo que explicar o que aconteceu: "entramos em contato com a empresa e ela não se pronunciou." Mas a empresa não tem obrigação de se pronunciar enquanto não há algo concreto — não precisa responder a todo mundo que alega ter invadido algo.

(07:34) E há também a falta de apuração jornalística — é bem delicado. Já vimos vários casos em que atacantes desafiaram a apuração e o que foi divulgado foram apenas as afirmações do próprio atacante. Dá-se voz a um criminoso que se manifesta de forma completamente anônima, com impacto grande, sem o ônus da prova — ele apenas acusa, e cabe a outra parte provar se aquilo é verdadeiro ou não.

(08:07) Enquanto isso, a instituição vítima do crime se vê numa situação em que tem que explicar o que aconteceu. Essa é uma questão sobre o jornalismo de segurança de maneira geral, tema que aparece no Segurança Legal desde o início do podcast.

(08:33) Você lembra daquele livro sobre segurança da informação, do Shostack — "The New School of Information Security", de Adam Shostack?

(09:01) Ele já falava sobre o papel da mídia e como ela pode ou não cumprir seu papel de investigação. Comparando com outros veículos jornalísticos, talvez o exemplo mais marcante seja o The Intercept,

(09:26) que nasceu das divulgações do caso Snowden — houve o Intercept americano e o brasileiro, que depois se separaram. Quem conhece essa história sabe que o jornalista americano publicou um livro sobre o caso Snowden — está me fugindo o nome agora, Vinícius.

(09:53) O Glenn Greenwald. Ele também tem um livro contando toda a história.

(10:15) Acho que é o "No Place to Hide".

No nascimento do Intercept, depois vindo para o Brasil com a Vaza Jato e, mais recentemente, trazendo denúncias do mundo político — sem entrar nesse aspecto —, tenho ouvido entrevistas de jornalistas do Intercept destacando a intensidade das apurações que fazem

(10:49) antes de publicar, justamente por lidar com temas que mexem com o mundo político do país. Falta um pouco disso no mundo da segurança da informação — sem generalizar —: simplesmente dar palco a um criminoso e dizer "não apuramos nada" já é problemático.

(11:11) Fechando esse parêntese: essas mensagens foram disparadas de madrugada com o nome do suposto autor atrelado. Os alertas foram categorizados como extremos — vale explicar um pouco o funcionamento do sistema antes de continuar.

Basicamente, ao receber um alerta desses, mesmo com o celular no silencioso, ele emite um alerta sonoro

(11:47) e exibe a mensagem na tela. Por isso todo mundo se preocupou. Algumas mensagens vieram acompanhadas de avisos de deslizamentos, alagamentos e tornados.

(12:10) Em Belo Horizonte, uma das variações foi: "proteja-se, ataque alienígena, humanos, chegamos" — claramente uma piada. Esse sistema, operado pela Defesa Civil, envia aos celulares uma mensagem "out of band" — o objetivo é justamente esse: usar esse canal de comunicação. Alguns rádios FM também têm essa funcionalidade.

(12:34) Esses canais servem para situações de calamidade ou catástrofe que atingem — ou estão prestes a atingir — uma região, exigindo aviso imediato à população. Seria útil, por exemplo, se as pessoas no caminho das águas durante as enchentes no Rio Grande do Sul tivessem sido avisadas — bairros inteiros desapareceram, restando apenas fundações de casas em alguns lugares.

(13:10) É o tipo de recurso usado para avisar sobre tornado se aproximando, enchente, terremoto, maremoto, tsunami — na Europa há avisos de tsunami por esse tipo de canal.

(13:33) É um canal semelhante ao princípio de não fazer trote com o Corpo de Bombeiros — quando você chama os bombeiros, pode ser uma questão de vida ou morte, e ainda assim há gente que faz trote com bombeiros e SAMU.

(14:00) Esse tipo de ação é ainda mais grave por afetar um serviço de extrema utilidade pública. No momento em que alguém tem acesso a um painel que permite enviar essas mensagens — e aqui já entramos na questão da falta de segurança do sistema —,

(14:30) usar isso para simular um alerta de invasão alienígena está errado, mas talvez cause menos prejuízo do que um alerta falso de catástrofe real, já que poucas pessoas conhecem esse sistema de alerta — entre as que conheço, praticamente ninguém sabia da existência dele. Por isso, uma mensagem dessas tenderia a ser recebida com desconfiança.

(15:03) É necessário educar a população para reconhecer e confiar nesse mecanismo, para que, quando chegar uma mensagem real avisando sobre uma catástrofe, as pessoas prestem atenção — porque ela pode salvar vidas.

(15:37) Já há falta dessa educação, e alguém aproveita o sistema para fazer, entre aspas, uma "brincadeira" — na prática, um crime — gerando um alerta falso que provoca comoção nacional.

(15:58) Cerca de 30 milhões de pessoas receberam esses alertas — imagine 30 milhões de aparelhos disparando em volume alto, sem se saber em que situação cada pessoa estava naquele momento.

(16:18) Presume-se que um alerta desse tipo se sobreponha a qualquer outra situação, por ser algo realmente sério quando ativado. Um policial com o celular no bolso, prestes a abordar alguém, poderia ter sua segurança colocada em risco pelo disparo repentino do alerta.

(16:42) Quando alguém invade um sistema desses e dispara uma mensagem sobre alienígenas, já é grave; ainda mais anunciando catástrofes reais por um canal que a população mal conhece — um desserviço absurdo à sociedade, que pode causar prejuízo imediato e também um problema futuro:

(17:16) quando vier um alerta real, as pessoas podem não acreditar, como na fábula do "Pedro e o lobo" — depois de tantas falsas alarmes, ninguém confia mais quando o perigo é real.

(17:36) Isso reflete a irresponsabilidade de quem promoveu esse ataque. Conhecendo esse mundo há anos, sabemos que criminosos digitais nem sempre têm intenção estritamente criminosa — há motivações políticas, terroristas, ou simplesmente o desejo de aparecer,

(18:02) de ganhar reconhecimento entre pares. É quase uma questão de criminologia: o que move esses agentes? Isso está completamente fora de qualquer ética — mesmo dentro da comunidade cracker, existe um mínimo de ética que aqui parece ter sido desrespeitado.

(18:31) Já falamos sobre esse tema, inclusive nos episódios sobre as enchentes no Brasil, sobre falhas nesse tipo de sistema, que funciona bem em outros países. Estive em Portugal no início do ano, quando houve a maior enchente das últimas décadas em Portugal e Espanha.

(18:53) Assim que a chuva se aproximava, o celular de todo mundo avisava: "esta noite, em tal lugar, vai acontecer isso, abrigue-se, não fique na rua, ventos de tantos quilômetros por hora." É meio natural, no sentido de que as pessoas sabem o que fazer e levam o aviso a sério.

(19:15) Recapitulando: cerca de 30 milhões de pessoas receberam esses alertas; estados e regiões atingidos foram Curitiba, São Paulo, Rio, Distrito Federal, Mato Grosso do Sul, Bahia, Pará, entre outros. O sistema foi retirado do ar por volta da 1h da manhã de sábado.

(19:39) Até onde se sabe, segue sem previsão de retorno. Durante o ataque, a equipe de TI bloqueou os acessos, mas novas credenciais foram usadas para retomar os disparos. A Anatel afirmou que os alertas não foram enviados pelas autoridades competentes e que não há motivo para preocupação.

(20:06) Depois, o Metrópoles trouxe documentos da PF apontando 10 disparos com credenciais de dois agentes da Defesa Civil do Pará. Se eu pudesse apontar um caminho, diria que esses agentes tiveram suas senhas vazadas — algumas narrativas, sem confirmação, mencionam que seriam facilmente descobertas ou baseadas no CPF. Não temos nada de concreto,

(20:42) o que reforça a crítica anterior: dar voz ao atacante sem apuração possível aproxima o relato mais da literatura do que do jornalismo. A PF está investigando a autoria; nenhuma hipótese está descartada, inclusive participação de usuários autorizados — ou seja,

(21:14) não se descarta que agentes com acesso legítimo tenham participado, o que contraria, em parte, a versão divulgada pelo suposto atacante no Twitter. Alguns aspectos técnicos começaram a surgir sobre a fragilidade do sistema: por trás dele há uma plataforma de composição de mensagens, que depois são transmitidas por antenas — nem todo celular é compatível,

(21:52) provavelmente apenas smartphones. O sistema de composição envia a mensagem para distribuição pelas antenas, disparando o alerta audível. O problema técnico central parece ser: como uma infraestrutura tão sensível não teria sequer segundo fator de autenticação — apenas login e senha para acesso completo?

(22:25) Como você vê essa fragilidade nesse tipo de sistema aqui no Brasil?

Não é um problema exclusivo do Brasil. Bastam os controles básicos da OWASP sobre controle de acesso para identificar uma série de itens que deveriam ser resolvidos antes de colocar um sistema desses em produção.

(23:01) Faltou uma boa modelagem de ameaças, que apontasse os principais riscos, e, a partir dela, uma especificação de quais mecanismos de segurança deveriam ser implementados, seguida de implementação efetiva e testes.

(23:33) Com base em reportagem do Crypto ID,

(24:11) haveria dois problemas: primeiro, uma única conta não deveria conseguir enviar mensagens para mais de uma região ou estado; se essa regra não foi tecnicamente imposta pelo software, é porque não foi codificada como restrição — dependia de configuração manual de quem atribuía os acessos.

(24:52) Um sistema íntegro deveria impedir, por padrão, que uma credencial recebesse permissão para múltiplas regiões, segundo a reportagem do Crypto ID.

(25:18) O segundo problema é que o comprometimento de uma única credencial teria sido suficiente para o ataque — ou seja, não havia segundo fator de autenticação (nem SMS, nem aplicativo autenticador, nem nada equivalente).

(25:54) Isso indica uma modelagem de ameaça muito mal feita, considerando que o sistema atinge 30 milhões de pessoas com uma mensagem que elas não podem recusar, por um canal destinado a comunicar catástrofes que colocam vidas em risco. Um sistema desse porte não pode ser protegido apenas por usuário e senha, por melhor que seja a senha —

(26:29) e, pelo que se comenta (sem confirmação), a senha poderia ser o CPF ou a data de nascimento. Mesmo com senha forte, o mecanismo é simples demais para o impacto social do sistema. Isso indica modelagem de ameaça muito mal feita — e, sem modelagem adequada, a implementação fica sujeita ao critério de quem a executa.

(27:04) Parece que havia um CAPTCHA, importante para evitar automação contra o sistema,

(27:27) mas há diversas formas de contorná-lo, e este em especial teria sido mal implementado — exigindo apenas o resultado de uma conta matemática simples, em vez de algo mais robusto, como seleção de imagens correspondentes a um padrão.

(28:02) Mesmo com um CAPTCHA bem implementado, um sistema com apenas usuário e senha, sem segundo fator — nem que fosse um código por e-mail ou SMS —, já seria insuficiente. Um segundo fator via SMS, mesmo não sendo o ideal, já seria muito melhor do que nada.

(28:29) Considerando o contexto de emergências, também seria possível restringir o acesso por origem — exigir que o disparo partisse de uma rede específica de uma entidade autorizada. Mas, em cenário de caos total, pode ser necessário disparar de qualquer lugar, então essa restrição não seria trivial de aplicar.

(29:03) O primeiro episódio do Segurança Legal foi justamente sobre o Consultas Integradas — sistema que continua em operação no Rio Grande do Sul até hoje, quase 15 anos depois.

(29:24) Lembro que, quando dei aula, algumas pessoas que trabalhavam diretamente com esse sistema comentaram que, depois de ataques anteriores envolvendo venda de credenciais por agentes públicos, foi implementado segundo fator de autenticação. Hoje é mantido pela Procergs.

(29:54) Eu discordaria, Vinícius, ao dizer que foi "modelagem de ameaças mal feita" — talvez sequer tenha sido feita.

Concordo — provavelmente não foi feita, ou, se foi, foi feita sem entendimento adequado do que estava sendo modelado.

(30:20) Uma reportagem do Capital Digital trouxe à tona uma auditoria mais ampla sobre a condição de segurança da informação dos sistemas públicos e infraestruturas críticas: o TCU avaliou, em 2024, 229 órgãos federais — lembrando que já falamos aqui sobre sistemas de câmeras conectados às cidades e sobre bilhetagem de ônibus.

(30:56) O Brasil tem infraestruturas públicas relevantes, mas o problema é a segurança:

(31:18) o TCU concluiu que nenhum dos 229 órgãos federais avaliados implementou integralmente os controles mínimos de segurança; apenas 14 obtiveram nota acima de 70, e só dois acima de 90. A auditoria também aponta aumento de incidentes — talvez, especulo, relacionado ao uso de IA.

(31:42) Vale lembrar também o caso do Nubank, há duas semanas: o aplicativo enviou, aparentemente sem intenção, um aviso informando que o banco estava sendo liquidado, o que também gerou comoção.

(32:01) Isso remete à discussão sobre a futura lei geral de cibersegurança e como o país vai regular esse tipo de situação. Mesmo com uma lei, persistem problemas clássicos de segurança já conhecidos do setor privado, somados a uma baixa maturidade institucional —

(32:44) semelhante ao que ocorre com as polícias na investigação de crimes digitais, diante da quantidade de casos e da falta de efetivo e formação adequada. Eles próprios reconhecem isso abertamente:

(33:03) falta gente, falta formação. Crimes de valores menores — R$ 200, R$ 1.000, R$ 2.000 — praticamente não são investigados, sem contar todos os demais crimes digitais.

(33:29) O estelionato digital tem chance quase nula de resultar em identificação do autor, segundo dados do Anuário de Segurança Pública — algo que ainda assusta, mas ao qual a sociedade parece estar meio anestesiada.

(33:58) Falando em celular: hoje praticamente não atendo mais chamadas de números desconhecidos — bloqueio uma série de números.

(34:39) Refletindo sobre essa baixa evolução institucional para lidar com esse tipo de crime, há no Brasil um populismo penal reconhecido, por razões históricas: a resposta típica é agir com bastante violência para combater certos crimes, criando novos tipos penais e aumentando penas — só que de forma seletiva,

(35:06) sendo rigoroso com determinados crimes e não com outros. Não há uma política pública consistente voltada à ressocialização ou à prevenção, especialmente diante da crescente migração da criminalidade para o ambiente digital.

(35:48) Com base nessa auditoria do TCU, o cenário não é otimista: há indícios de que outras infraestruturas públicas de igual ou maior relevância — inclusive para a segurança nacional — também estejam vulneráveis a ataques com vazamento de credenciais. Não deveria ser possível que sistemas públicos fiquem acessíveis dessa forma.

(36:19) É difícil dimensionar a quantidade de sistemas existentes nos diferentes níveis de governo — municipal, estadual e federal — muitos operados por agentes que acessam múltiplos sistemas reutilizando as mesmas credenciais,

(36:57) frequentemente desenvolvidos sem preocupação adequada com segurança, por falta de conhecimento ou de especificação técnica. Temos recebido, cada vez mais, demandas de órgãos e entidades públicas por serviços de segurança da informação,

(37:40) incluindo solicitações específicas de pentest e análises independentes de segurança de software — um movimento que começa a aparecer, ainda que a quantidade de sistemas pequenos ("sisteminhas") — como sistemas municipais de nota fiscal eletrônica —

(38:08) seja enorme, muitas vezes com problemas relevantes e sem priorização de segurança. E o pior é que, quando não se tem noção de quão fácil é cometer um erro e deixar um sistema vulnerável, cria-se uma falsa sensação de segurança.

(38:36) Isso é algo comum no nosso trabalho: durante um pentest, o cliente costuma achar que nada será encontrado — "aqui está tudo tranquilo" — e depois se depara com vulnerabilidades graves. As pessoas se surpreendem não porque não sabem fazer seu trabalho, mas porque sua visão é voltada à entrega funcional do negócio, não à segurança da informação como especialidade,

(39:40) diferente de quem atua e estuda segurança há anos — a ponto de, às vezes, já se prever um problema apenas observando a estrutura do sistema, antes mesmo de testá-lo, e essa previsão costuma se confirmar. Isso ocorre por falta de cultura de segurança, de efetivo qualificado e de tempo — cronogramas de entrega e manutenção contínua não deixam espaço para revisar questões de segurança;

(40:36) manter um sistema em operação por anos exige acompanhamento constante, e quando surgem listas de problemas de segurança a corrigir após um pentest, é comum ver dificuldade em agendar tempo para resolvê-los — algumas correções são simples, outras exigem mudanças arquiteturais.

(41:26) Para quem não é da área de segurança, um sistema pode parecer "fechado" e seguro simplesmente por não se conhecer suas falhas. É como o exemplo do carro: eu não entendo nada de mecânica, faço a revisão do meu carro e presumo que está tudo certo —

(41:48) mas, se eu decidisse não fazer revisões e só me preocupar quando ouvisse um barulho estranho no motor, correria o risco de um acidente ou de ficar parado na estrada. É preciso reconhecer os limites da própria expertise — "cada macaco no seu galho", ou "cada um no seu quadrado" — quem entende de segurança deve cuidar da segurança, assim como se leva o sapato ao sapateiro.

(42:51) Para irmos terminando, Vinícius: há vários desdobramentos possíveis, como o papel da Anatel diante da futura lei de cibersegurança, que lhe atribuiria função de autoridade também em sistemas de telecomunicações — área de segurança em telecomunicações que não é exatamente a nossa especialidade,

(43:29) mas que remete ao caso americano do modelo Fable, bloqueado por autoridades dos EUA sob o argumento de possível risco à segurança nacional — sem entrar no mérito de se a medida deveria ou não ter ocorrido, já criticamos isso no episódio passado.

(44:08) Mas é interessante notar a diferença de perspectiva: esse tipo de preocupação dificilmente aparece por aqui. Ao mesmo tempo, se o Estado falha em vários outros domínios, há uma tendência de que também falhe nesse aspecto — embora existam bons exemplos, como a Receita Federal e o Pix, que nasceu no Banco Central e hoje é também objeto de disputa geopolítica, com os Estados Unidos buscando sancioná-lo.

(44:43) Para encerrar, sobre o tipo penal aplicável: algumas reportagens mencionaram "terrorismo", mas é difícil enquadrar o caso na Lei 13.260, cujo artigo 2º define terrorismo como

(45:10) prática, por um ou mais indivíduos, dos atos previstos, motivada por razões de xenofobia, discriminação ou preconceito de raça, cor, etnia e religião, com finalidade de provocar terror social generalizado.

Acho que faltaria justamente esse elemento motivacional específico previsto na lei, ainda que o episódio possa ter causado pânico localizado em determinado grupo de pessoas — mas não se pode fazer analogia para ampliar tipo penal.

(45:47) Há também, no Código Penal, o artigo 266, sobre interrupção ou perturbação de serviço telegráfico, radiotelegráfico ou telefônico, ou impedimento de seu restabelecimento — possivelmente aplicável, mas

(46:21) o enquadramento mais provável seria o artigo 154-A (invasão de dispositivo informático), com pena de reclusão que pode variar conforme haja obtenção de conteúdo ou outras circunstâncias, incluindo hipóteses qualificadas quando cometido contra autoridades específicas.

(46:51) Não se trata de um simples "defacement", como ocorria antes em protestos contra serviços públicos — nesses casos, o serviço era interrompido pela pichação digital, mas aqui o quadro é diferente.

(47:29) O enquadramento mais provável seria mesmo o artigo 154-A. Resta aguardar o desenvolvimento da investigação pela Polícia Federal — responsável pelo caso, por se tratar de serviço federal com repercussão em todo o território nacional — e esperar que a pessoa que se autoproclamou autora publicamente seja identificada.

(48:04) Mas, basicamente, é isso, Vinícius.

Esse tema me deixou incomodado.

(48:41) No fechamento, eu diria que há três aspectos: primeiro, para quem estuda segurança ou quer atuar na área e encontra uma falha desse tipo — notifique pelos canais oficiais; se, após um prazo razoável (por exemplo, três meses), ninguém corrigir, aí sim divulgue publicamente, comprovando a falha sem explorá-la, demonstrando boa-fé de que tentou avisar antes.

(49:02) Isso é importante porque expor uma vulnerabilidade dessa forma representa um risco real para a sociedade. É preciso agir com cautela: invadir qualquer sistema, especialmente um sistema público federal, configura crime — mesmo com boa intenção, ela só será considerada depois, e não isenta de responsabilização imediata.

(49:53) Segundo aspecto: a vulnerabilidade do sistema, que deveria ter sido corrigida antes — não deveria estar exposta sem mecanismos mínimos de segurança compatíveis com o risco e o impacto potencial que esse tipo de sistema representa.

(50:29) Terceiro aspecto: já que o episódio recebeu tanta publicidade, vale aproveitar o momento para informar a população sobre como o sistema realmente funciona — houve uma ocorrência criminosa, mas o sistema em si serve para determinada finalidade legítima, e é importante confiar nele.

(51:27) A segurança está diretamente ligada à confiança: um sistema inseguro, explorado dessa forma, acaba perdendo a confiança da população, justamente quando ela mais precisaria confiar nele numa situação real de calamidade.

(51:55) É difícil entender a real motivação por trás de um ataque como esse — provavelmente, o objetivo foi apenas aparecer, e, nesse sentido, o autor conseguiu o que queria. Esse é o problema: há um limite entre noticiar o fato e dar fama ao autor.

(52:19) Voltando ao que aconteceu no Rio Grande do Sul — vivemos isso na pele: o Vinícius ficou preso em Porto Alegre, quase perdeu o carro, mas muita gente teve situação bem pior, perdendo casa e tudo mais.

(52:44) Um sistema funcional poderia ter ajudado — e, aparentemente, agora vai melhorar — mas é revoltante ver alguém se aproveitando dessa fragilidade.

(53:27) A imprensa internacional também repercutiu o caso — CNN, Bloomberg, The Next Web, RT — tratando-o como questão de segurança nacional e falha de Estado. No fim das contas, quebra-se a confiança num sistema que pode salvar vidas, e é difícil compreender a motivação por trás disso — algo que sentimos na pele aqui no Rio Grande do Sul.

(53:27) Aproveitando: se você tem ou vai desenvolver um sistema, além de um pentest, vale considerar uma modelagem de ameaças com a BrownPipe — serviço que a equipe oferece,

(53:47) avaliando o sistema (existente ou em planejamento), possíveis impactos, ameaças e requisitos mínimos de segurança recomendados.

(54:15) Segurança não se negligencia — quando a negligência fica escancarada, quem paga o preço muitas vezes são as próprias pessoas, e não apenas os responsáveis por manter a segurança.

(54:39) Como não podemos usar músicas protegidas por direitos autorais aqui, sob risco de o Spotify encerrar o episódio, vá até seu serviço de streaming preferido e toque a música "Segurança", dos Engenheiros do Hawaii — imaginando que o episódio termina com ela.

(55:03) Vá lá e apoie o Humberto Gessinger também. Agradecemos a todos que nos acompanharam até aqui. Nos encontraremos, espero, com um assunto mais leve no próximo episódio do podcast Segurança Legal. Até a próxima.

Até a próxima.