Como um brasileiro invadiu os sistemas da Nasa e foi reconhecido pela agência espacial dos EUA

"Frustrante e muito irritante." É assim que o brasileiro Carlos Eduardo Zambelli Aloi, de 38 anos, profissional de segurança da informação, descreve os seis meses que passou, ao longo de 2025, em busca de falhas de segurança em sistemas da Nasa, a agência espacial americana.

Segundo ele, os problemas encontrados nem sempre eram aceitos quando reportados à Nasa e, em alguns casos, o retorno com feedback demorava semanas.

Em novembro de 2025, a agência reconheceu duas das 26 falhas de segurança identificadas por Carlos Eduardo em sistemas próprios.

'Me sinto suja', diz brasileira vítima de foto editada de biquíni pelo Grok

Em uma das vulnerabilidades, ele afirma ter acessado um documento no Google Docs com um artigo científico que deveria estar restrito a funcionários da Nasa. Na outra, foi possível acessar informações sensíveis, como senhas.

Como resposta, Carlos recebeu uma carta de agradecimento assinada pela diretora de segurança da informação da Nasa, Tamiko Fletcher. Segundo ele, o reconhecimento não envolve recompensa financeira (leia a carta na íntegra).

"Para mim, é uma conquista pessoal, de testar até onde consigo ir e saber se estou no caminho certo. Isso reforça que meus estudos e o trabalho que venho fazendo na área estão dando resultado", disse ao g1.

Procurada, a Nasa não quis comentar as descobertas do brasileiro por "questões de segurança". Em nota, um porta-voz afirmou que a agência mantém um programa para o relato responsável de falhas encontradas por pesquisadores externos, aberto a qualquer pessoa.

Além dele, o g1 encontrou outros dois brasileiros que também foram reconhecidos pela agência norte-americana. Os nomes aparecem no site Bugcrowd, plataforma usada pela Nasa para receber relatórios de vulnerabilidades.

Seis meses de tentativas até a carta

Os esforços de Carlos Eduardo começaram no meio do ano passado. A partir de novembro, ele intensificou as buscas, dedicando de três a quatro horas por dia (geralmente entre 21h e 2h da manhã) após o expediente de trabalho e as aulas da pós-graduação de cibersegurança ofensiva.

No primeiro teste, Carlos afirma ter acessado diretórios restritos e manipulado identificadores de login para baixar documentos internos. Segundo ele, chegou a obter permissão de edição em um artigo científico armazenado no Google Drive.

"Era um estudo sobre condições de vento solar e eventos magnéticos, possivelmente ligado à astronomia e à física espacial", afirmou. "Eu entrei e inseri um link para um site falso. A partir daí, se quisesse, poderia roubar credenciais, como e-mails e senhas, de pessoas da Nasa."

O arquivo, ao qual o g1 conseguiu visualizar parte, continha a mensagem "for more content click here:" ("para mais conteúdo, clique aqui:"), acompanhada do site falso criado por ele.

No segundo teste, o brasileiro afirmou ter encontrado uma pasta restrita com dados internos da Nasa, como repositórios de sistemas, credenciais de acesso (senhas) e endereços de IP usados pela agência. O material foi localizado após uma série de tentativas para mapear falhas na estrutura digital da instituição.

Segundo ele, foram usadas técnicas de reconhecimento e enumeração para identificar diretórios e pastas que não deveriam estar visíveis. Ao encontrar uma brecha, disse ter conseguido explorá-la como ponto de entrada para acessar outras áreas do sistema, até localizar a pasta restrita.

"Você encontra uma brecha, entra nela e descobre outra, avançando aos poucos", explicou. "É como um rato procurando um caminho. Nesse processo, acabei chegando a informações muito sensíveis da infraestrutura interna deles."

Segundo ele, a Nasa demorou a responder. O relatório sobre a vulnerabilidade ficou semanas em análise e o retorno só veio após a correção do problema.

"Você passa muito tempo testando, monta o relatório, envia e ele não é aceito ou a falha é considerada sem impacto. É frustrante ficar horas trabalhando e não receber retorno", disse.

O g1 teve acesso a parte das evidências encontradas, mas a divulgação do material depende de autorização da Nasa. A liberação foi solicitada pelo brasileiro, mas não houve resposta até a publicação desta reportagem.

Brasileiro trabalha com TI há mais de 20 anos

Carlos Eduardo vive em São Paulo e diz que trabalha com tecnologia da informação (TI) há mais de 20 anos. Ele atua na área de cibersegurança há cerca de uma década. Atualmente, é analista de sistemas sênior em uma das maiores redes de estacionamentos do Brasil.

Segundo ele, a persistência em buscar falhas nos sistemas da Nasa também foi influenciada por um momento pessoal delicado: a morte do pai, em outubro de 2025. Carlos afirma que o desafio técnico serviu como forma de distração durante o luto. "Eu me apoiei nisso para distrair a cabeça, porque é uma coisa que eu gosto de fazer", disse.

Ele já tinha experiência em testes de invasão por meio de programas oferecidos por empresas, que convidam profissionais da área a buscar vulnerabilidades em seus sistemas. Segundo ele, em alguns desses casos há recompensas financeiras.

Receber um reconhecimento da Nasa, mesmo sem pagamento, era um objetivo pessoal. "Eu sempre quis ter essa carta. Acompanhava outras pessoas que recebiam esse reconhecimento depois de encontrar falhas. Eu queria muito isso", contou.

A carta foi emitida em nome de "Kazam", apelido que ele usa em comunidades de hacking (grupo de hackers) e que reúne "Kadu", seu apelido, com o sobrenome Zambelli.

O feito também garantiu ao brasileiro um lugar na "hall da fama" da Nasa no site da Bugcrowd, plataforma de cibersegurança colaborativa usada pela agência para receber relatórios de falhas (veja na imagem abaixo).

O site Bugcrowd é uma das principais plataformas que reúnem empresas interessadas em incentivar pesquisadores a identificar falhas de segurança. Em muitos casos, o reconhecimento se limita a uma menção no "hall da fama", mas algumas companhias oferecem recompensas mais atrativas, como dinheiro ou produtos.

Em nota, a Nasa confirmou que o Bugcrowd é o canal usado por pesquisadores para relatar vulnerabilidades em seus sistemas, com concessão de cartas de reconhecimento após a correção dos problemas, e que o "hall da fama" é gerenciado pela própria Bugcrowd.

O reconhecimento veio por meio da Vulnerability Disclosure Policy (Política de Divulgação de Vulnerabilidades), programa que conta com a ajuda de pesquisadores para identificar problemas de segurança em sistemas da agência, incluindo sites oficiais como nasa.gov e nsc.nasa.gov.

Em seu site, a Nasa informa que nem todos os relatórios resultam em uma carta de reconhecimento, chamada de "Letter of Recognition" (LOR). Segundo a agência, o documento é concedido apenas a relatórios validados, aceitos e confirmados como corrigidos (veja todas as regras aqui).

Na carta enviada ao brasileiro, a Nasa afirma que o relatório dele "contribuiu para ampliar a conscientização sobre vulnerabilidades que, de outra forma, poderiam permanecer desconhecidas, ajudando a proteger a integridade e a disponibilidade das informações da agência".

Carlos diz conhecer outros brasileiros já reconhecidos pela Nasa e afirma que, após o reconhecimento, passou a receber mensagens de pessoas interessadas em participar do programa.

Leia a tradução da carta

"Administração Nacional da Aeronáutica e do Espaço

Sede da NASA Mary W. Jackson

Washington, DC 20546-0001

Prezado Kazam,

Em nome da Administração Nacional da Aeronáutica e do Espaço e da Política de Divulgação de Vulnerabilidades (VDP) da NASA, gostaríamos de reconhecer seus esforços como pesquisador independente de segurança, tanto na identificação da vulnerabilidade que você submeteu quanto no cumprimento da política e das diretrizes da VDP da NASA ao reportá-la de forma responsável.

A capacidade de detectar e relatar vulnerabilidades de segurança é uma habilidade valiosa na indústria de segurança da informação. Seu relatório contribuiu para ampliar a conscientização da NASA sobre vulnerabilidades que, de outra forma, poderiam permanecer desconhecidas, e nos ajudou a proteger a integridade e a disponibilidade das informações da NASA.

Por favor, aceite esta carta como um sinal de nossa apreciação por seus esforços na detecção dessa vulnerabilidade, contribuindo para que a NASA possa continuar avançando nas áreas de ciência, tecnologia, aeronáutica e exploração espacial, com o objetivo de ampliar o conhecimento, a educação, a inovação, a vitalidade econômica e a preservação da Terra. Estamos todos juntos nisso como uma comunidade de segurança, e sua participação e expertise são dignas de reconhecimento.

Atenciosamente,

Tamiko Fletcher

Atuante como Diretora Sênior de Segurança da Informação da Agência (SAISO)

Escritório do Diretor de Informação da NASA (OCIO)

Política de Divulgação de Vulnerabilidades da NASA (VDP)

22 de dezembro de 2025"

O que diz a Nasa

"A NASA reconhece que vulnerabilidades externas podem ser descobertas por qualquer pessoa a qualquer momento e criou a Política de Divulgação de Vulnerabilidades para que pesquisadores de segurança relatem de boa-fé as vulnerabilidades que descobriram. Relatórios de vulnerabilidades pelo canal oficial são reconhecidos, e pesquisadores de segurança podem ser contatados durante a remediação. Por questões de segurança, não é apropriado que a NASA comente relatórios específicos. Por favor, entre em contato com a Agência de Segurança de Cibersegurança e Infraestrutura para obter informações adicionais sobre sistemas federais. - Porta-voz".

Outras Notícias

Um milhão de pessoas podem passar pela BR-116 durante o Carnaval

Durante o período de Carnaval, entre os dias 13 e 18 de fevereiro, a Arteris Régis Bittencourt irá operar em esquema ...

Superlotação: trio de Calvin Harris é paralisado e foliões passam mal em SP

O que era para ser um marco histórico com o DJ escocês Calvin Harris nas ruas de São Paulo virou cenário de desespero...

Após ação do MP, Justiça exige higiene e climatização em maternidade de Pariquera-Açu, SP

A Justiça determinou prazo de 30 dias para melhorias na maternidade do Hospital Regional Dr. Leopoldo Bevilacqua, em ...

14º BPM/I lança campanha contra a violência doméstica e reforça acolhimento

O 14º Batalhão de Polícia Militar do Interior (14º BPM/I) lançou uma campanha de conscientização contra a violência d...

Registro-SP alcança 23 posição no ranking estadual dos Municípios de Interesse Turístico

Município lidera o Vale do Ribeira entre os MITs paulistas e garante liberação |de|| recursos ainda no primeiro trime...

Anvisa alerta para aumento de pancreatite em usuários de canetas emagrecedoras

A Agência Nacional de Vigilância Sanitária (Anvisa) emitiu um alerta após identificar o aumento de casos suspeitos de...

Piloto é preso dentro de avião no aeroporto de Congonhas suspeito de manter rede de abuso sexual infantil

Um piloto da companhia aérea Latam foi preso na manhã desta segunda-feira (9) dentro de um avião no Aeroporto de Cong...

Sobe para 5 o número de vítimas de provável intoxicação em piscina na zona leste de SP

Subiu para cinco o número de vítimas de provável intoxicação após nadarem na piscina de uma academia no Parque São Lu...

Policiais fantasiados de caça-fantasmas prendem suspeitos de furtar celulares em megabloco na Consolação (SP)

Policiais prenderam um homem e uma mulher suspeitos de furtar celulares no megabloco realizado na rua da Consolação, ...

Policiais disfarçados de E.T. prendem vendedores de bebidas clandestinas em São Paulo

Misturados aos foliões e sem levantar suspeitas, policiais civis do DHPP atuaram fantasiados de extraterrestres duran...

Trump detona show de Bad Bunny no Super Bowl: 'Afronta à grandeza da América'

O presidente dos Estados Unidos, Donald Trump, comentou a apresentação de Bad Bunny no Super Bowl em suas redes socia...

Portugal elege socialista moderado como novo presidente por um mandato de cinco anos

O socialista moderado António José Seguro garantiu uma vitória esmagadora e um mandato de cinco anos como presidente ...

DIG de Registro prende homem em Minas Gerais por estelionato com cheque falso

Policiais civis da Delegacia de Investigações Gerais (DIG) de Registro prenderam, na manhã desta quarta-feira (5), um...

Prefeitura de Registro-SP reabre creche no bairro Agrochá e amplia atendimento à educação infantil

Unidade Professora Lourdes Imaculada Moraes Rebello inicia as atividades na próxima semana.Na manhã desta quinta-feir...

Sesc Registro-SP promove imersão na histórica rota do chá do Vale do Ribeira

Vale do Ribeira O Sesc Registro-SP convida o público para uma jornada singular pela Rota do Chá, no próximo sábado, 2...

Sebrae-SP abre inscrições para curso gratuito de marketing em Registro -SP

Destinado a MEIs e pequenos empreendedores, curso presencial será no dia 11 de fevereiro; vagas são limitadas.o Sebra...

MP propõe multa de até R$ 30 mil por desinformação com IA nas eleições de 2026

O procurador regional da República Luiz Carlos Gonçalves propôs multa de R$ 5 mil a R$ 30 mil para quem divulgar desi...

Adolescente é apreendido por criar falsos mandados de prisão contra Lula e Moraes

Um adolescente de 15 anos foi apreendido sob suspeita de emitir falsos mandados de prisão contra o presidente Luiz In...

Mega-Sena pode pagar R$ 144 milhões nesta quinta-feira

O concurso 2.969 da Mega-Sena pode pagar um prêmio de R$ 144 milhões para os acertadores das seis dezenas. O sorteio ...

Carreta bitrem tomba na Régis Bittencourt e interdita faixa no sentido capital

Acidente ocorreu no trecho de São Lourenço da Serra; motorista não se feriu e houve saque da carga antes da chegada d...