Lições de segurança sem segurança: como duas senhoras vindas do mundo dos blocos de notas online e dos folhetos publicitários montaram um teatro global da “proteção”

Você rola o site do TradingView até o finalzinho e, logo abaixo da linha “© 2026 TradingView, Inc.”, saltam aos olhos dois botões enormes em molduras austeras: SOC 2 Compliant com um selo redondo e GDPR Compliant cercado pelas estrelinhas da União Europeia. Parece monumental — na hora você se enche de respeito pelos implacáveis profissionais de segurança da plataforma. Por pura curiosidade, clica nesses selos para ver como exatamente essa armadura inexpugnável foi forjada e cai na página trust.tradingview.com.

E é aqui, quando a gente começa a cavar, que se abre um absurdo de não saber se ri ou se chora.

Na vitrine brilham os selos SOC 2, PCI DSS 4.0.1, GDPR e DORA, e ao lado um indicador verde faz tique-taque todo animado: “Updated 4 minutes ago” — ou seja, quatro minutos atrás conferimos todas as fechaduras, a fronteira está trancada. Logo abaixo se enfileiram vinte itens robustos de proteção da infraestrutura: acesso aos servidores estritamente por chaves criptográficas, redes segmentadas, criptografia funcionando, um sistema de detecção de intrusão que nunca dorme.

Você começa a olhar os detalhes com atenção — e a coluna com os status reais das verificações está simplesmente vazia. Os relatórios em si ficam escondidos atrás do botão “Solicitar acesso”, onde ninguém vai deixar entrar um qualquer da rua. Mas o mais engraçado nem é isso: nenhum dos vinte itens ameaçadores da página foi escrito por engenheiros do TradingView. Toda essa “fortaleza” foi gerada inteirinha a partir de um modelo pronto por uma firma americana terceirizada chamada Vanta.

Para provar que não há ladrões em casa, deixe estranhos entrarem em cada quarto

Como funciona esse negócio? No mundo corporativo, exige-se dos serviços um papelzinho de um auditor — o tal certificado SOC 2. Antes, para consegui-lo, era preciso aguentar por meses no escritório fiscais de carne e osso, fuçando com tédio nas configurações dos servidores. Até que apareceu a Vanta e ofereceu ao setor um cheat code genial: “Não precisa juntar nada à mão. Conecte nosso software à sua empresa, a gente marca as caixinhas do auditor em segundo plano e, de quebra, ainda desenha no seu site uma vitrine bonita cheia de selos.”

Agora preste atenção nas mãos do mágico. Para pendurar no rodapé do site um orgulhoso botão “Não deixamos ninguém chegar perto dos seus dados”, a empresa deixa voluntariamente uma firma de fora mexer debaixo do próprio capô. Ela dá aos servidores da Vanta acesso à sua infraestrutura de nuvem (AWS, Google Cloud), ao código-fonte no GitHub, ao e-mail corporativo e ao banco de dados de RH com a lista de todos os funcionários. E não para por aí: no notebook de trabalho de cada programador e administrador é instalado à força um programa espião da Vanta, que verifica 24 horas por dia se o computador tem senha ativada, se o antivírus está rodando e se a atualização foi baixada.

Formalmente, o acesso é “somente leitura” — o script dos outros não vai apagar seu banco de dados sozinho. Em compensação, nos servidores da firma terceirizada vai sendo montado com todo o carinho um mapa radiográfico completo da empresa: as plantas de toda a rede, nomes e e-mails de todos os engenheiros, os modelos dos notebooks deles e uma lista ao vivo de todas as vulnerabilidades ainda não corrigidas.

Preenchedores de formulário no comando da segurança mundial

Quem seriam, você poderia pensar, esses gênios implacáveis da criptografia e veteranos das tropas cibernéticas a quem milhares de empresas no mundo inteiro confiam as chaves da sua cozinha interna?

Abrimos as biografias da liderança da Vanta e pegamos a pipoca.

A fundadora e eterna chefona da empresa é Christina Cacioppo. Onde ela forjou sua lendária experiência em segurança da informação? Nos laboratórios secretos do Pentágono? Desenvolvendo a proteção dos sistemas centrais de bancos? Não. A moça foi aprender a programar, passou uns dois anos mexendo em projetinhos que nunca decolaram e depois arrumou emprego como gerente de produto no Dropbox. E lá ela nem cuidava do armazenamento de arquivos ou da criptografia de discos. O auge da carreira dela foi o Dropbox Paper — um bloquinho de notas online secundário para escrever anotações em conjunto dentro de um serviço de compartilhamento de arquivos, de cuja existência nove em cada dez usuários do Dropbox nem desconfiavam. Enquanto montava esse bloquinho, obrigaram-na a preencher planilhas chatíssimas para os auditores — e ela concluiu que era muito mais lucrativo vender para outras empresas formulariozinhos web que coletam automaticamente essas mesmas planilhas.

Vamos em frente: quem é a segunda grande dama desse navio? A diretora de marketing Sarah Scharf. Essa senhora veio do Google, onde passou sete anos fazendo “marketing de produto de privacidade, segurança e Android”. Pense no próprio cargo: essa pessoa não escrevia código nem caçava hackers, mas passou sete anos inventando contos publicitários sobre como o Google cuida da sua privacidade enquanto a corporação montava um dossiê de cada habitante do planeta.

O resto da equipe está à altura: o diretor de produto e tecnologia antes cuidava de complementos e vitrines secundárias no GitHub, e o diretor financeiro veio do Calendly — um site que faz formulariozinhos para marcar uma call na agenda.

Esse dream team — a criadora de um bloquinho de notas na nuvem, uma relações-públicas da “privacidade” do Google e um contador saído de uma agenda online — hoje distribui padrões de segurança para as fintechs do mundo todo.

Um vigia de chinelo e o paradoxo dos vendedores de escritório

Mas a comédia de verdade começa quando você olha como funciona a cozinha interna dos próprios “fiscais”. A empresa que guarda radiografias das vulnerabilidades de milhares de negócios alheios trabalha oficialmente no modo “remote-first”. Já na primavera de 2022 eles escreviam todos felizes no site: “Trabalhamos com sucesso de qualquer lugar.”

Se você entrar agora no quadro de vagas deles, das 83 posições, 52 são home office puro nos EUA, no Canadá, no Reino Unido e na Irlanda. E quem trabalha do sofá lá não são designers de ícones:

• Sr. Manager, Security Operations (remoto). Essa pessoa configura a própria proteção da Vanta e comanda a resposta a ataques hackers. No anúncio da vaga, prometem a ela com todo o carinho “um auxílio para montar o espaço de trabalho em casa, internet residencial e celular”. O chefão da defesa contra ciberataques comanda a defesa pelo roteador de casa, por conta da casa.
• Engenheiro da nuvem governamental GovCloud (remoto, com plantões para incidentes). O único requisito de segurança para trabalhar com o setor público é fazer login “fisicamente a partir do território dos EUA”. De qual lanchonete de beira de estrada ou apartamento alugado exatamente — ninguém está nem aí.
• Senior Engineer, Enterprise Resilience e Senior Security Engineer (remoto). As pessoas responsáveis pela sobrevivência da produção, que no texto da vaga juram ser “guardiões confiáveis de dados sensíveis”, também ficam em casa.
• Staff Engineer, Program Structure & Trust (remoto). E guarde bem esta vaga: esse especialista remoto é o responsável por garantir que os dados secretos de clientes diferentes não se misturem entre si.

Sabe qual é o maior absurdo aqui? Os simples gerentes de vendas de Londres e Dublin são obrigados pela chefia da Vanta a ir ao escritório três dias por semana. Ou seja, gente que só liga para clientes e mostra apresentações tem que ficar sob supervisão num centro empresarial. Já os engenheiros que guardam as chaves da produção e os mapas de infraestrutura de milhares de empresas ficam de chinelo na cozinha de casa, cercados de parentes, vizinhos, entregadores e encanadores. E isso numa época em que as empresas de TI americanas pegam falsos funcionários remotos aos montes — quando a entrevista por vídeo é feita por um ator de fachada e o notebook de trabalho vai pelo correio direto para uma fazenda de hackers norte-coreanos.

Quatro dias com a braguilha escancarada

Aonde leva a segurança feita por criadoras de bloquinhos e funcionários remotos no Wi-Fi de casa, não foi preciso adivinhar por muito tempo.

Lembra da vaga do engenheiro remoto que deve vigiar para que os bancos de dados de empresas diferentes não se misturem? Em maio de 2025, os preenchedores de formulário da Vanta soltaram uma atualização bugada, e os dados secretos de uns clientes simplesmente foram gravados no painel de outros (relatório do incidente INC-868).

Os segredos de centenas de empresas simplesmente despencaram em telas alheias. Estranhos receberam listas de funcionários de outras empresas, seus cargos e — a cereja do bolo — as configurações da autenticação de dois fatores (MFA) deles. Ou seja, uma cola pronta para uma invasão: quem faz o quê e quem não ativou a proteção da conta.

Mas toda a dimensão desse circo é revelada por dois detalhes:

1. O rombo ficou aberto por quatro dias. O tão badalado monitoramento automático da Vanta, que a cada quatro minutos pinta checks verdes nos sites dos clientes, passou quatro dias sem enxergar, bem debaixo do nariz, que estava distribuindo bancos de dados alheios para vizinhos aleatórios. O erro só foi descoberto quando um dos clientes, pasmo, viu no próprio painel a cozinha interna de outro e escreveu para o suporte.
2. Um descaramento de manual. Quando o vexame veio à tona, os marqueteiros da Vanta publicaram um relatório e, com a maior cara de pau, chamaram o vazamento dos dados de centenas de empresas para mãos alheias de incidente “não relacionado à segurança” (non-security related). Ah, misturaram uns bancos de dados, e daí? O importante é que os checks nos relatórios estão verdes!

Um escudo de papel

É isso que valem os temíveis botões SOC 2 Compliant e GDPR Compliant no rodapé de um site.

Uma pessoa comum olha para esses selos e acha que o serviço dela está protegido como a maleta nuclear. Na realidade, por causa de um papel burocrático, as empresas abrem elas mesmas um buraco no próprio muro, despejam todo o esquema da sua defesa num cocho comum entregue a ex-gerentes de bloquinhos e de publicidade, e colocam para vigiar esse cocho gente no roteador de casa, cujo software nem consegue perceber que passou quatro dias seguidos distribuindo segredos alheios a torto e a direito.

As lições de segurança sem segurança foram aprendidas com perfeição: o selo no site brilha, e o que tem atrás da porta — melhor ninguém saber.

Em vez de um epílogo: quem é, na vida real, um “engenheiro de segurança remoto”

Quando as corporações colocam nas apresentações a expressão Remote Security Engineer, o cliente imagina um profissional concentrado num escritório banhado de sol, guardando os segredos dos outros por um canal de satélite protegido.

Na realidade, o funcionário remoto é uma caixa-preta cujo conteúdo o empregador não controla de jeito nenhum. As empresas não fazem ideia do que acontece do outro lado da webcam assim que termina a call matinal de quinze minutos. E o que acontece lá é a vida real em todo o seu esplendor.

1. A mente na neblina, ISRS e microdose de cogumelos No escritório você pelo menos vê a pessoa ao vivo: se as mãos dela tremem, se o olhar está normal, se tomou banho esta semana e se não está conversando com as paredes. No remoto, todo o contato com alguém que tem nas mãos acessos root aos servidores de milhares de empresas se resume a um quadradinho no Zoom com o fundo desfocado.

Quinze minutos por dia, no stand-up, esse cara espreme a duras penas um sorriso protocolar e reporta todo animado: “Sem bloqueios, subindo a atualização pra produção.” Depois desliga a câmera — e ninguém na matriz faz ideia de em que estado ele está. Talvez ele esteja há três meses tomando doses cavalares de antidepressivos pesados (ISRS), que atrofiaram por completo o senso de perigo dele, e ele não esteja nem aí para quais bancos de dados está vazando e para onde. Talvez, na moda do Vale do Silício, ele tenha tomado de manhã uma microdose de cogumelos de psilocibina ou esteja à base de Adderall misturado com terapia de cetamina, tentando sair da depressão pós-divórcio. Para a empresa, ele é uma bolinha verde no Slack. Na prática, quem está no painel de controle de um reator nuclear é uma pessoa em profundo desfoque cognitivo.

2. Assalto na cafeteria e um MacBook aberto Os polos de tecnologia americanos, como San Francisco, Seattle ou Austin, há muito tempo viraram parques temáticos do crime. Em San Francisco existe até todo um ofício de rua — o laptop snatching: os ladrões invadem cafeterias da moda, arrancam das mãos do pessoal de TI MacBooks abertos e desbloqueados, com sessões de VPN já ativas e terminais abertos, e fogem com eles para o carro que espera na porta.

Ou mais simples ainda: à noite, depois do trabalho, esse “guardião de dados sensíveis” sai para comprar um burrito com o celular do trabalho e o notebook na mochila. A dois quarteirões de casa, chegam nele dois caras com uma pistola, dão uma pancada na cabeça e explicam bem didaticamente que agora ele não só vai entregar todos os aparelhos, como também vai encostar o dedo no Touch ID e ditar o PIN. Nenhum firewall na nuvem e nenhum selo SOC 2 Compliant jamais salvou ninguém de uma barra de ferro num beco escuro.

3. Esposas, amantes e acessos roubados direto do travesseiro Mesmo que o engenheiro nem saia de casa, o apartamento dele é uma casa da mãe joana. Às costas dele circulam esposas, namoradas antigas e atuais, colegas de apartamento, diaristas, entregadores e convidados das festas de sexta-feira.

Nos EUA isso já não é teoria, e sim material de processos judiciais. Em 2024, a Comissão de Valores Mobiliários americana (SEC) desmantelou um belo esquema familiar: o marido de uma funcionária remota da gigante do petróleo BP simplesmente andava pela casa e dividia o quarto de hotel com ela nas viagens enquanto ela trabalhava de casa em negociações sigilosas de fusão. Ele escutava as ligações dela, espiava a tela aberta do notebook de trabalho quando ela ia até a cozinha, comprou ações da rede certa e embolsou com informação privilegiada quase dois milhões de dólares.

Agora imagine um cenário mais pé no chão: um profissional de segurança remoto no meio de um divórcio pesado ou de uma briga com a cara-metade. A esposa magoada ou o colega de apartamento espertinho simplesmente esperam o “guardião da infraestrutura” entrar no banho ou pegar no sono, fotografam com o celular a tela aberta com chaves de acesso, tokens e conversas do Slack — ou simplesmente espetam um pendrive no notebook do dono, cuja senha já espiaram por cima do ombro faz tempo.

4. O cansaço das três da manhã E, por fim, o clássico que nos últimos anos derrubou gigantes do Uber ao serviço de autenticação Okta. Quando os invasores compram a senha roubada de um funcionário remoto, só falta driblar a autenticação de dois fatores (MFA). O que eles fazem? Esperam o funcionário remoto ir dormir em casa e, às três da manhã, começam a bombardear o celular dele com dezenas de notificações push: “Confirme o login”. Em seguida, mandam mensagem no aplicativo pessoal dele se passando pelo “suporte técnico da empresa”: é só um bug do sistema, toque em “Confirmar” para as notificações pararem de tocar. E o sujeito sonolento de cueca, só para o celular finalmente calar a boca e deixá-lo dormir, deixa os hackers entrarem no santo dos santos com o próprio dedo.

É desse caos humano — remédios, dramas familiares, criminalidade de rua e preguiça noturna — que na verdade é feito o alicerce em que se apoia toda a indústria moderna da “confiança na nuvem”. E da próxima vez que você vir no rodapé de um belo site financeiro os austeros selos SOC 2 Compliant e GDPR Compliant, lembre-se apenas de que, em algum lugar do outro lado do oceano, neste exato momento, uma pessoa cansada e à base de antidepressivos se afastou do notebook aberto para se servir de um café, enquanto a namorada dele rola pensativa, no monitor dele, as listas de servidores alheios.