Blog

Imagine que a fechadura da sua casa tenha um defeito que nem o fabricante conhece. Não adianta trancar a porta, trocar a chave ou ler o manual: o defeito está lá, e só quem o descobriu sabe usá-lo. No mundo digital, esse defeito tem nome: vulnerabilidade zero-day (de dia zero). É a brecha explorada pelo criminoso antes que exista qualquer correção, a arma preferida de espiões, de fabricantes de spyware e, cada vez mais, de grandes quadrilhas de extorsão.

Nesta postagem você vai entender, em linguagem simples, o que é um ataque zero-day, quem descobre, compra e vende essas falhas, que crimes são praticados durante e depois da exploração, como a polícia e a Justiça reagem e, principalmente, o que cidadãos e empresas podem fazer quando a defesa “oficial” ainda nem existe.

1. Resumo do ataque

Alguém descobre uma falha desconhecida num sistema operacional, aplicativo, equipamento de rede ou programa corporativo. Em vez de avisar o fabricante, guarda o segredo, vende ou usa a falha para invadir. Como ainda não existe correção, nem o usuário mais cuidadoso consegue se proteger apenas atualizando. Quando a falha é finalmente descoberta e corrigida, começa uma segunda corrida: criminosos tentam explorá-la em massa contra quem demora a instalar a atualização.

2. Conceito e objetivos

O nome vem da ideia de que o fabricante teve zero dias para corrigir o problema antes de ele ser explorado. O Google Threat Intelligence Group define zero-day como a vulnerabilidade explorada maliciosamente antes que uma correção estivesse disponível publicamente. Três conceitos ajudam a entender:

• Vulnerabilidade: o defeito de segurança, a “janela mal trancada”.
• Exploit: o método ou programa que aproveita a falha, o “pé de cabra”.
• Ataque zero-day: o uso do exploit contra vítimas reais enquanto a falha ainda não tem correção.

Dois termos vizinhos completam o quadro. A falha “n-day” é aquela que já foi divulgada e corrigida, mas continua sendo explorada contra quem não atualizou, e é responsável pela maior parte dos estragos, como mostramos no caso PHP2Shell. Já o ataque “zero-click” (sem clique) dispensa qualquer ação da vítima: basta receber uma mensagem ou uma chamada para o aparelho ser infectado.

Os objetivos de quem usa zero-days:

• Espionagem: governos e empresas de vigilância interessados em autoridades, empresas estratégicas, jornalistas, advogados e ativistas.
• Roubo de dados em massa para extorsão: grupos de ransomware que encontram uma falha num produto usado por centenas de empresas.
• Acesso silencioso e duradouro a redes corporativas e governamentais.
• Sabotagem de sistemas críticos.
• Lucro com a venda: a própria falha é mercadoria valiosa.

O mercado das falhas

Quem descobre uma vulnerabilidade tem três caminhos. O legítimo é comunicá-la ao fabricante, muitas vezes por meio de programas de recompensa (bug bounty), para que seja corrigida antes de virar arma. O cinzento é vendê-la a corretores e a empresas que fornecem ferramentas de vigilância a governos, um mercado pouco transparente e controverso. O criminoso é vendê-la ou usá-la para invadir, roubar e extorquir. A diferença entre o pesquisador e o criminoso, portanto, não está no conhecimento técnico, mas no que cada um faz com ele.

3. Os números: quem está explorando zero-days

• O Google Threat Intelligence Group contabilizou 90 vulnerabilidades zero-day exploradas em 2025, contra 78 em 2024 e o recorde de 100 em 2023, segundo seu relatório anual publicado em março de 2026.
• Quase metade (43, ou 48%) atingiu tecnologias corporativas, como equipamentos de rede, VPNs e sistemas de gestão, recorde histórico.
• Pela primeira vez, o Google atribuiu mais zero-days a empresas comerciais de vigilância do que a grupos tradicionais de espionagem estatal, sinal de que o acesso a essas armas se ampliou.
• Grupos com motivação financeira, como ransomware e extorsão de dados, responderam por nove das falhas exploradas, conforme o BleepingComputer.
• Falhas ligadas à segurança de memória responderam por 35% dos zero-days explorados, e os sistemas operacionais foram a categoria mais visada.

4. As vulnerabilidades: por que zero-days existem

• Software é feito por pessoas: sistemas com milhões de linhas de código sempre terão defeitos ainda não descobertos.
• Equipamentos “de borda” (firewalls, VPNs, roteadores corporativos) ficam expostos à internet, raramente têm monitoramento interno e dão acesso privilegiado à rede.
• Produtos usados por muitas organizações (sistemas de transferência de arquivos, de gestão, de e-mail) transformam uma falha em ataque em massa.
• Aplicativos de mensagens e celulares concentram a vida das pessoas e permitem ataques sem clique.
• Roubo de código-fonte: o Google alertou que o furto de código de empresas de tecnologia pode alimentar a descoberta de novos zero-days no futuro.
• A janela depois da correção: organizações que demoram dias ou semanas para atualizar ficam expostas à exploração em massa da falha recém-divulgada.

5. Meios e modos de ataque: o ciclo de vida de um zero-day

A descrição a seguir é conceitual:

1. Descoberta ou aquisição: a falha é encontrada por pesquisa própria, comprada de terceiros ou derivada de código roubado.
2. Transformação em arma: desenvolve-se o exploit, às vezes encadeando várias falhas para alcançar o controle total do aparelho.
3. Uso discreto ou em massa: espiões usam a falha contra poucos alvos selecionados, para não chamar atenção; quadrilhas a usam contra o maior número possível de vítimas, no menor tempo.
4. Instalação do “passageiro”: a falha é só a porta; por ela entram spyware, portas dos fundos, ladrões de dados ou ransomware (veja o guia de malware).
5. Descoberta pelos defensores: um comportamento estranho é notado, pesquisadores analisam, o fabricante é avisado.
6. Correção e corrida: sai a atualização, e começa a exploração em massa contra quem não a instalou, agora como falha “n-day”.

6. Gatilhos psicológicos explorados

O zero-day é um ataque técnico, mas explora hábitos humanos:

• Adiamento: “atualizo depois”. A demora transforma uma falha corrigida em porta aberta.
• Falsa sensação de segurança: “meu sistema é de marca, então é seguro”.
• Medo e urgência (nos golpes que surfam na notícia): mensagens de falso suporte oferecendo “corrigir a falha” do momento.
• Curiosidade (nos ataques com um clique): o link ou documento enviado sob medida para a vítima.

7. Crimes praticados e capitulação penal

No Brasil, explorar uma falha para invadir é crime, seja ela zero-day ou antiga. O enquadramento depende de quem age e do que faz:

Observações práticas, úteis também para quem estuda para concursos:

• Descobrir uma falha não é crime. O que o art. 154-A pune é a invasão sem autorização e, no § 1º, a produção ou difusão do programa com o intuito de permitir a invasão. O pesquisador que estuda software, encontra um defeito e o comunica ao fabricante age de forma lícita e socialmente útil.
• A zona cinzenta da venda. Vender um exploit a quem se sabe que vai usá-lo para invadir sistemas alheios atrai o § 1º e pode configurar participação nos crimes praticados (art. 29 do CP). A venda a corretores e fornecedores de vigilância suscita debate doutrinário sobre dolo e destinação, ainda pouco enfrentado pelos tribunais brasileiros.
• Agentes públicos também respondem. O Estado só pode interceptar comunicações e acessar dispositivos com ordem judicial e nos termos da lei. Usar spyware fora dessas hipóteses atrai o art. 10 da Lei 9.296/1996, que pune quem intercepta sem autorização judicial ou com objetivos não autorizados em lei, além dos crimes de abuso de autoridade.
• Ação penal. A invasão depende de representação, salvo contra a administração pública ou concessionárias (art. 154-B). Interceptação ilegal e extorsão são de ação pública incondicionada.
• Responsabilidade do fabricante e de quem não atualiza. O fabricante que demora a corrigir e a empresa que deixa de aplicar a correção disponível podem responder civil e administrativamente, inclusive perante a LGPD (arts. 46 e 48), pelos danos aos titulares dos dados.

8. O efeito cascata: os crimes que vêm depois

1. Extorsão em série: dados copiados de centenas de empresas são usados para cobrar resgates uma a uma, como no caso MOVEit, e muitas vezes acabam publicados.
2. Golpes personalizados contra clientes e funcionários cujos nomes, e-mails e dados bancários vazaram (fraude eletrônica – art. 171, § 2º-A, do CP).
3. Ransomware tardio: o acesso obtido pela falha é vendido e usado meses depois para sequestrar a rede (veja o pilar sobre ransomware).
4. Vigilância e perseguição de jornalistas, advogados, ativistas e opositores, com riscos à integridade física e à liberdade de imprensa.
5. Espionagem empresarial e estatal, com uso de segredos comerciais e informações estratégicas.
6. Exploração em massa depois da divulgação, quando a falha vira “n-day” e passa a ser usada por qualquer quadrilha.

Os crimes de amanhã. Quatro tendências merecem atenção: (1) a inteligência artificial acelerando tanto a descoberta de falhas quanto o desenvolvimento de exploits, o que encurta a janela entre a divulgação e o ataque; (2) a popularização do spyware comercial, que leva armas antes restritas a Estados a um número maior de clientes; (3) o roubo de código-fonte como “fábrica” de futuros zero-days; e (4) a casa, o carro e os equipamentos médicos conectados, com software que raramente é atualizado.

9. Casos reais

MOVEit: um zero-day, milhares de empresas (2023)

No fim de maio de 2023, o grupo de ransomware Cl0p começou a explorar uma falha desconhecida no MOVEit Transfer, programa usado por organizações do mundo inteiro para trocar arquivos sensíveis. Em vez de criptografar sistemas, o grupo copiou dados em massa e passou a cobrar das vítimas para não publicá-los. Até agosto de 2023, a contagem da Emsisoft, citada pela Security Affairs, já passava de mil organizações e 60 milhões de pessoas afetadas, e levantamentos posteriores elevaram o número de organizações para mais de 2.600. Empresas como BBC e British Airways foram atingidas por meio de um fornecedor de folha de pagamento. Há indícios de que o grupo conhecia a falha desde 2021. Detalhe importante: a falha era uma injeção de SQL, tema da postagem seguinte desta série.

Pegasus e WhatsApp: o spyware sem clique no tribunal (2019–2025)

Em 2019, uma falha desconhecida no WhatsApp foi explorada para instalar o spyware Pegasus, da empresa israelense NSO Group, nos celulares de cerca de 1.400 usuários, sem que eles precisassem clicar em nada. A Meta processou a NSO nos Estados Unidos. Em dezembro de 2024, a Justiça americana reconheceu a responsabilidade da empresa por violar leis contra invasão, e em maio de 2025 um júri fixou indenização de cerca de US$ 168 milhões. Em outubro de 2025, a juíza do caso reduziu a indenização punitiva para pouco mais de US$ 4 milhões, por considerá-la excessiva, mas concedeu ordem permanente proibindo a NSO de atacar o WhatsApp e seus usuários. A NSO sustenta que sua tecnologia é usada por governos contra crimes graves e terrorismo. O caso é o principal precedente judicial contra a indústria de spyware comercial.

PHP2Shell: quando o vazamento antecipou a correção (2026)

Em outubro de 2026, falhas graves no PHP, linguagem que faz funcionar grande parte dos sites do mundo, vazaram antes de a correção estar pronta, e houve tentativa de exploração antes da divulgação. Governos e empresas de vários países tiraram sistemas do ar por precaução, e no Brasil o SEI de órgãos federais e de tribunais foi suspenso temporariamente. Contamos essa história em detalhes na postagem sobre o PHP2Shell.

10. Casos ilustrativos (fictícios)

Os casos abaixo foram criados para fins didáticos. Qualquer semelhança com pessoas, instituições ou fatos reais é coincidência.

Caso 1 – A VPN da prefeitura. Um grupo criminoso explora uma falha ainda desconhecida no equipamento de acesso remoto de uma prefeitura de médio porte. Por semanas, ninguém percebe. Quando o fabricante publica a correção, o grupo já copiou o cadastro de contribuintes e instalado portas dos fundos; dias depois, criptografa a rede e exige resgate. Enquadramento possível: art. 154-A, §§ 3º e 4º (ação penal pública incondicionada, por atingir a administração pública); extorsão (art. 158); art. 266, § 1º; organização criminosa e lavagem.

Caso 2 – A jornalista e a chamada perdida. Uma repórter que investiga desvios de verbas recebe uma chamada de vídeo de número desconhecido e não atende. Semanas depois, uma organização de direitos digitais identifica no celular dela vestígios de spyware instalado sem clique. Enquadramento possível: art. 154-A, § 3º; interceptação ilegal (art. 10 da Lei 9.296/1996); perseguição (art. 147-A), se houver vigilância reiterada; e, se o autor for agente público agindo sem ordem judicial, também crimes de abuso de autoridade.

Caso 3 – O pesquisador diante de duas portas. Um estudante de computação descobre, por acaso, uma falha grave no sistema de agendamento de uma rede de hospitais. Se ele a comunica ao fabricante e aguarda a correção, presta um serviço à sociedade e não comete crime. Se ele a vende num fórum a quem anuncia querer “acesso a hospitais”, pode responder pelo art. 154-A, § 1º, e como partícipe dos crimes cometidos com a falha.

Caso 4 – O cenário de amanhã. Um sistema de inteligência artificial criminoso analisa automaticamente as atualizações publicadas por fabricantes, identifica em horas qual falha cada uma corrige e gera ataques contra as organizações que ainda não atualizaram. A distância entre “correção publicada” e “ataque em massa” cai de semanas para horas. A defesa passa a depender de atualização automática, monitoramento contínuo e redução da exposição à internet.

11. Sinais de alerta (checklist)

Um zero-day bem usado é, por definição, difícil de perceber. Ainda assim, alguns sinais merecem atenção:

• Comunicados do fabricante, do CERT.br ou do CTIR Gov sobre falha “explorada ativamente” num produto que você ou sua empresa usam.
• Notificação da Apple, do Google ou do WhatsApp avisando que você pode ter sido alvo de ataque patrocinado por Estado ou spyware. Leve a sério.
• Celular esquentando, consumindo bateria e dados de forma anormal, ou com comportamento estranho após chamadas e mensagens de desconhecidos.
• Nas empresas: contas novas, arquivos desconhecidos em servidores, conexões de saída incomuns e equipamentos de rede com configurações alteradas.
• Mensagens de “suporte” oferecendo corrigir a falha do noticiário. São golpes que se aproveitam da notícia.

12. Prevenção: o que fazer quando ainda não há correção

Para você

• Ative a atualização automática do sistema e dos aplicativos e instale atualizações de segurança assim que chegarem. Contra zero-days, a sua melhor arma é encurtar a janela depois da correção.
• Reinicie o celular periodicamente. Algumas infecções sem clique não sobrevivem a uma reinicialização.
• Tenha menos aplicativos: cada app instalado é uma porta a mais.
• Troque aparelhos que não recebem mais atualizações de segurança.
• Se você tem alto risco (jornalistas, advogados, autoridades, ativistas, executivos), ative os modos de proteção reforçada oferecidos pelos sistemas, como o Modo de Bloqueio do iPhone e a Proteção Avançada do Android.
• Proteja suas contas com chaves de acesso e verificação em duas etapas, para que, mesmo com o aparelho comprometido, o dano seja limitado.

Para empresas e órgãos públicos

• Conheça o que você tem: inventário atualizado de sistemas, versões e equipamentos expostos à internet.
• Reduza a superfície de ataque: nada de painéis administrativos e serviços desnecessários abertos à internet.
• Defesa em camadas: segmentação de rede, privilégio mínimo e verificação em duas etapas, para que uma falha não entregue a rede inteira.
• Monitore comportamentos, não só assinaturas: ferramentas de detecção e resposta percebem ações anormais mesmo quando a falha é desconhecida.
• Atualize rápido e com prioridade para falhas com exploração ativa, acompanhando alertas do CERT.br, do CTIR Gov e catálogos internacionais de falhas exploradas.
• Depois de corrigir, investigue: verifique se a falha foi usada antes da correção. Corrigir não remove portas dos fundos já instaladas.
• Tenha um canal para pesquisadores comunicarem falhas (política de divulgação responsável) e um plano de resposta a incidentes.
• Exija dos fornecedores compromisso contratual com correções e transparência sobre incidentes.

13. Já fui vítima: o que fazer

Se a sua empresa ou órgão foi atingido

1. Isole os sistemas afetados, sem desligar ou formatar por impulso: memória e registros são provas.
2. Aplique a correção ou as medidas de contenção indicadas pelo fabricante e acione equipe especializada em resposta a incidentes.
3. Preserve as evidências: registros de acesso, cópias forenses, mensagens de extorsão.
4. Registre boletim de ocorrência; em ataques a órgãos federais ou com repercussão interestadual ou internacional, a Polícia Federal também pode atuar.
5. Notifique o CERT.br; órgãos federais também comunicam o CTIR Gov.
6. Avalie a comunicação à ANPD e aos titulares (art. 48 da LGPD), no prazo regulamentar.
7. Não pague resgate sem orientação jurídica e policial.

Se você suspeita de spyware no seu celular

1. Não apague nada e evite restaurar o aparelho antes de buscar ajuda: a análise depende dos vestígios.
2. Use outro aparelho para comunicações sensíveis enquanto isso.
3. Procure a polícia e, se você é jornalista, advogado ou defensor de direitos, organizações de segurança digital que oferecem análise especializada, como a linha de ajuda da Access Now.
4. Atualize o sistema e ative o modo de proteção reforçada assim que a análise for feita.
5. Se houve dados vazados que afetem suas finanças, consulte o Registrato e fique atento a golpes personalizados.

14. Públicos mais vulneráveis e cuidados específicos

• Jornalistas, advogados, ativistas, políticos e autoridades: alvos preferenciais do spyware comercial.
• Órgãos públicos e prefeituras: equipamentos de borda e sistemas antigos com atualização lenta.
• Empresas que dependem de um mesmo fornecedor de software: uma falha atinge todas ao mesmo tempo.
• Hospitais e indústrias: equipamentos difíceis de atualizar e que não podem parar.
• Usuários de aparelhos antigos, que não recebem mais correções.

15. Repressão: como a polícia e a Justiça reagem

• Perícia forense: a análise de servidores e aparelhos revela a falha usada, os programas instalados e a infraestrutura de comando. A cadeia de custódia (arts. 158-A a 158-F do CPP) deve ser respeitada desde a coleta.
• Cooperação com fabricantes e empresas de segurança: são elas que, muitas vezes, detectam a exploração e ligam os pontos entre vítimas.
• Rastreamento do dinheiro e medidas assecuratórias contra os lucros de extorsões e vendas de exploits.
• Registros de conexão e de aplicação (Marco Civil da Internet, Lei 12.965/2014, arts. 13, 15 e 22).
• Cooperação internacional: autores e servidores costumam estar no exterior; a Convenção de Budapeste, promulgada pelo Decreto 11.491/2023, é a base para preservação e obtenção de provas.
• Ações civis e sanções: como no caso WhatsApp contra NSO, a responsabilização também ocorre por indenizações, ordens judiciais de proibição e restrições comerciais impostas a empresas de spyware.

16. Guia de leitura: o ecossistema das falhas no site

• Uma falha que parou governos: PHP2Shell: a falha que fez governos e empresas tirarem sites do ar.
• O que entra pela falha: Malware: o guia completo dos programas maliciosos.
• A extorsão que vem depois: Ransomware: o sequestro de dados que paralisa empresas, hospitais e tribunais.
• O espião no seu bolso: Fita na câmera do celular: paranoia ou proteção?

Fontes

• Look What You Made Us Patch: 2025 Zero-Days in Review – Google Threat Intelligence Group, 05/03/2026.
• Google says 90 zero-days were exploited in attacks last year – BleepingComputer, março de 2026.
• Google: Half of 2025’s 90 Exploited Zero-Days Aimed at Enterprises – SecurityWeek, março de 2026.
• Massive MOVEit campaign already impacted at least 1,000 organizations and 60 million individuals – Security Affairs, 28/08/2023.
• Known MOVEit Attack Victim Count Reaches 2,618 Organizations – BankInfoSecurity, 2023.
• Ransomware Group Starts Naming Victims of MOVEit Zero-Day Attacks – SecurityWeek, junho de 2023.
• NSO Group owes $168M in damages to WhatsApp over spyware infections, jury says – CyberScoop, maio de 2025.
• NSO Ordered to Stop Hacking WhatsApp, but Damages Cut to $4 Million – SecurityWeek, outubro de 2025.
• Judge bars NSO from targeting WhatsApp users with spyware, reduces damages – The Record, outubro de 2025.
• Cartilha de Segurança para Internet – CERT.br/NIC.br.
• Código Penal, Lei 14.155/2021 e Lei 14.197/2021 – Planalto.
• Lei 9.296/1996 e Marco Civil da Internet (Lei 12.965/2014) – Planalto.
• Google Threat Intelligence – 2025 Zero-Days in Review
• BleepingComputer – 90 zero-days em 2025
• Security Affairs – MOVEit
• BankInfoSecurity – 2.618 organizações no MOVEit
• CyberScoop – Veredito NSO x WhatsApp
• SecurityWeek – Indenização reduzida e proibição permanente

Leia também

• Injeção SQL: quando um campo de formulário abre o cofre de dados de um site
• PHP2Shell: a falha que fez governos e empresas tirarem sites do ar
• Malware: o guia completo dos programas maliciosos
• Ransomware: o sequestro de dados que paralisa empresas, hospitais e tribunais
• Man-in-the-Middle: o criminoso invisível no Wi-Fi público
• Fita na câmera do celular: paranoia ou proteção? As 6 portas que o criminoso usa para espionar você
• Convenção de Budapeste: o tratado que mudou a investigação de crimes cibernéticos no Brasil

Chamada para Mentoria

Descobrir uma falha é crime? Quem vende um exploit responde pelo § 1º do art. 154-A ou como partícipe? Quais os limites do Estado no uso de ferramentas de invasão? Questões assim cruzam Direito Penal, Processo Penal e Direito Constitucional, e aparecem com frequência crescente nas provas discursivas e orais para Delegado de Polícia.

Se você quer se preparar com quem vive a investigação desses crimes na prática, conheça a Mentoria para Delegado de Polícia e estude com método, estratégia e acompanhamento individual.

Sobre o Autor

Ronaldo Entringe é Delegado de Polícia Civil do Estado do Amapá e Delegado-Chefe da Divisão Especial de Combate à Corrupção (DECOR/PCAP), com 15 anos de experiência policial. Professor de Medicina Legal e escritor, é mestrando em Ciberdelincuencia pela Universitat Oberta de Catalunya (UOC) e pós-graduando em Crimes Cibernéticos, Cibersegurança e Inteligência pelo Instituto Rogério Greco. Atua como mentor de carreiras policiais e de futuros Delegados de Polícia.