Passaportes e documentos de identidade de quase um milhão de pessoas ficaram disponíveis na internet pública depois que pastas inteiras foram publicadas sem senha ou qualquer forma de controle de acesso.
A vulnerabilidade foi revelada por investigação do site norte-americano The Verge, que localizou as imagens ao digitar combinações simples de letras e números diretamente no navegador. Entre os arquivos havia o passaporte de uma jovem alemã, o de um espanhol usando óculos sobre a cabeça e o verso da carteira de motorista de outro cidadão, todos acessíveis por links diretos.
O que estava exposto
Os documentos ficavam armazenados em endereços públicos (“public URLs”) que não exigiam login, autenticação multifator ou sequer um token de verificação. Em outras palavras, qualquer pessoa que tivesse o link — ou descobrisse o padrão de nomeação dos arquivos — poderia visualizar, baixar ou compartilhar cópias integrais das identidades.
- Passaportes de diferentes países, incluindo Alemanha e Espanha;
- Carteiras de motorista norte-americanas, com frente e verso digitalizados;
- Fotos de perfil e outros comprovantes com dados pessoais sensíveis.
“Precisamos agir o mais rápido possível, porque alguém vai encontrar esses arquivos, revendê-los e causar prejuízo”, alertou o pesquisador de segurança Sammy Azdoufal ao conversar com o repórter da investigação original.
Segundo a apuração, não havia sinal de criptografia em repouso nem de sistemas automáticos de detecção de acesso externo — falhas consideradas elementares em qualquer política séria de proteção de dados.
Riscos imediatos e impacto potencial
A exposição de documentos oficiais amplia o risco de fraude bancária, abertura irregular de contas e solicitações indevidas de benefícios governamentais. Em escala quase milionária, o incidente ganha relevância adicional num contexto em que golpes de identidade custam bilhões de dólares à economia global todos os anos.
Além do prejuízo financeiro, a circulação irrestrita de cópias de passaportes compromete processos de verificação remota adotados por fintechs, serviços de delivery e plataformas de e-commerce. Uma vez na internet pública, o material pode ser coletado por bots, integrado a bases de dados clandestinas e vendido em fóruns de dark web, tornando praticamente impossível reverter o dano.
Por que o caso importa para o Brasil
A Lei Geral de Proteção de Dados (LGPD) estabelece princípios de segurança, prevenção e prestação de contas que se aplicam a qualquer empresa que armazene informações de cidadãos brasileiros — mesmo que os servidores estejam fora do país. Incidentes como este reforçam a necessidade de auditorias frequentes, políticas de zero trust e processos de resposta a violações que sejam realmente testados, não apenas documentados.
Com a digitalização acelerada de serviços públicos e privados, cresce também a dependência de verificações baseadas em imagem — um soft spot para fraudadores. A Autoridade Nacional de Proteção de Dados (ANPD) já sinalizou que a negligência na guarda de registros oficiais pode resultar em multas milionárias e proibições temporárias de operação.
Próximos passos esperados
A investigação do The Verge não detalha, até o momento, quais empresas ou plataformas hospedavam os arquivos, nem se as falhas já foram corrigidas. Caso se confirme a dimensão de “quase um milhão” de documentos, o incidente deve entrar para a lista de maiores vazamentos do ano no setor de identidade digital.
Entidades de cibersegurança recomendam que usuários monitorem movimentos bancários incomuns e ativem alertas de credit score. Do lado corporativo, o episódio serve de lembrete: armazenar documentos em repositórios públicos sem autenticação é equiparável a deixá-los numa gaveta aberta em plena via pública.
Mais conteúdo sobre boas práticas de proteção e tendências em segurança digital pode ser encontrado na editoria de Tecnologia da S&N.
Para consulta ao material original, acesse a reportagem do The Verge neste link.
Comentários
Participe com respeito. Comentários passam por proteção anti-spam simples.