Adolescente de 16 anos entra em sistema da Microsoft com 17 trilhões de registros e ganha 5 mil dólares

Aos 16 anos, a maioria das pessoas está tentando passar de ano. Um adolescente conhecido na internet como Faav conseguiu algo diferente: entrou como administrador numa ferramenta interna da Microsoft e, a partir dela, chegou a bases de dados que somam algo como 17,3 trilhões de registros. A história foi contada pelo site The Register, e a Microsoft já fechou a brecha.

A ferramenta se chama Titan e serve para consultar dados de análise dentro da empresa. O problema estava no jeito como ela verificava quem estava batendo na porta. Quando você faz login em muitos serviços, recebe um token, uma espécie de crachá digital que prova quem você é. Esse crachá vem com uma assinatura, parecida com um carimbo oficial, que serve para garantir que ninguém o falsificou. O Titan simplesmente não conferia o carimbo. Resultado: bastava montar um crachá falso, escrever “admin” no campo de identificação e o sistema aceitava, entregando acesso de administrador.

Com isso, de acordo com o relato, Faav conseguiu rodar consultas nos bancos de dados por trás da ferramenta. O número gigante de 17,3 trilhões vem de uma soma das linhas de tabelas que ele conseguia alcançar, e a conta inclui dados antigos, repetidos e derivados, então não significa 17 trilhões de informações únicas. Ainda assim, é um volume que dá a dimensão do estrago possível se alguém mal-intencionado tivesse achado a brecha primeiro. O próprio jovem afirma que não identificou pessoas nem cruzou registros entre as bases.

Um detalhe curioso: ele descobriu o caminho com ajuda de um robô de invasão movido a inteligência artificial que ele mesmo construiu. Ou seja, a ferramenta que varreu o sistema em busca de portas abertas era feita em casa, por um estudante. Isso vira um pouco de ponto de interrogação sobre o futuro, porque se um adolescente consegue montar algo assim, atacantes profissionais com mais recursos também conseguem, e em escala maior.

A Microsoft agiu bem na reação. Fechou o acesso à API (a porta de entrada técnica do serviço), corrigiu a falha e pagou uma recompensa de 5 mil dólares. Esse tipo de pagamento faz parte dos programas de recompensa por falhas, em que empresas premiam quem avisa antes de um criminoso aproveitar. Cinco mil dólares parece pouco diante do que estava exposto, mas o valor costuma depender de regras do programa e do que se prova que foi acessado.

Para o usuário comum, a lição é indireta. Nada indica que dados pessoais de clientes tenham vazado, e a falha estava numa ferramenta interna. O que muda é a percepção: gigantes de tecnologia, com orçamentos de segurança enormes, ainda tropeçam em erros básicos como esquecer de conferir uma assinatura. O que vale observar daqui para a frente é se a Microsoft detalha o que revisou depois do caso, e quantos jovens pesquisadores como Faav vão aparecer com robôs de IA caçando falhas parecidas.