Radar Tech: camera de via publica arrancada do poste expoe chave de criptografia guardada junto dos dados

Uma câmera instalada num poste, arrancada do suporte, levada para casa e desmontada. Foi assim que um coletivo de pesquisadores de segurança obteve acesso ao interior de um sistema de leitura automática de placas amplamente instalado em vias públicas nos Estados Unidos — e mostrou, com dados reais, como o dispositivo realmente funciona por dentro.

O que aconteceu

Segundo a investigação publicada em parceria entre a WIRED e o 404 Media, o coletivo removeu uma unidade em campo, copiou o conteúdo do armazenamento interno e recuperou, do próprio dispositivo, a chave de criptografia usada para proteger o material. Com isso, conseguiram decifrar vídeos de milhares de detecções de veículos gravadas ao longo de semanas.

Os logs recuperados, segundo a análise conjunta das duas publicações, registraram mais de 1,6 milhão de imagens de cerca de 50 mil veículos num período de 21 dias — um volume muito acima do que a ideia de "uma foto por carro que passa" sugere. Uma única passagem pode gerar dezenas de imagens.

O detalhe que interessa a arquitetos

O ponto tecnicamente relevante não é o arrombamento em si. É o que estava dentro do dispositivo.

O sistema era descrito como protegido por criptografia. O material estava, de fato, cifrado. Mas a chave que decifrava esse material residia no mesmo meio físico do dado que ela protegia. Quem leva o disco, leva os dois. Isso não é falha de criptografia — o algoritmo provavelmente estava correto. É falha de custódia de chave, e é o tipo de erro que sobrevive a revisões de código porque, no papel, "os dados estão criptografados".

Há um segundo achado igualmente relevante: a análise do software embarcado mostrou que o modelo de visão computacional rodando localmente detecta pessoas e bicicletas, além de veículos e placas. Em um caso descrito na investigação, o sistema isolou até um adesivo numa motocicleta. Ou seja: o escopo de coleta efetivo era maior que o escopo declarado do produto. Para quem trabalha com conformidade e privacidade, isso é uma mudança de finalidade, mesmo sem qualquer invasão envolvida.

Por que isso importa fora das câmeras

O padrão se repete em toda arquitetura de borda que combina três ingredientes: hardware em local não supervisionado, inferência de IA local e dado pessoal armazenado no próprio dispositivo. Câmeras de trânsito, leitores de crachá em portas de fábrica, gateways de telemetria industrial, sensores veiculares. Sempre que o dispositivo é fisicamente alcançável, a captura física precisa ser tratada como cenário base — não como exceção.

Disso saem algumas perguntas de projeto que valem mais que qualquer checklist genérico:

• Onde exatamente mora cada chave, e o que a protege? Se a chave e o dado compartilham o mesmo componente, o design tem um buraco.
• Comprometer uma unidade compromete a frota inteira? Chave única compartilhada transforma um incidente isolado em incidente de escala.
• Quais classes o modelo local realmente detecta, e isso bate com as finalidades declaradas na avaliação de privacidade? Divergência aqui é achado de conformidade, com ou sem ataque.
• Por quanto tempo o dado fica no dispositivo? Retenção curta é mitigação compensatória real quando não há elemento seguro disponível no hardware atual.
• Existe porta de serviço acessível fisicamente no enclosure? UART, USB ou JTAG expostos são backdoor de produção permanente até prova documentada em contrário.

O que fazer com isso

Nada aqui é resolvido por um patch. É resolvido por decisão arquitetural registrada — com ativos classificados, caminhos de ataque explícitos, alternativas descartadas com motivo técnico e prazos em dias, não em adjetivos.

Se o seu time opera dispositivos de borda com IA local, o exercício mais útil desta semana é simples e desconfortável: pegue um relato de incidente como este, sente o time de arquitetura e responda por escrito onde mora cada chave do sistema. Se a resposta for "no mesmo lugar dos dados", você acabou de encontrar o item P0 do trimestre.

Resumo do radar

• Borda + IA local + dado sensível é uma combinação que exige modelo de ameaça explícito, não criptografia declarada no datasheet.
• Criptografia com chave co-residente equivale a ofuscação. É o erro de design mais comum e mais bem disfarçado em sistemas de borda.
• Escopo de coleta real pode divergir do declarado. Auditar as classes que o modelo detecta é trabalho de arquitetura e de conformidade, não só de jurídico.
• Captura física é cenário base para qualquer dispositivo instalado em local não supervisionado. Modele com essa premissa desde o primeiro diagrama.
• Atualização de firmware em campo é lenta. Toda remediação precisa de estratégia para a janela em que dispositivos vulneráveis continuam operando.

O material de referência desta análise foi publicado em 16 de setembro de 2026, em investigação conjunta da WIRED com o 404 Media, a partir de arquivos compartilhados com o projeto Distributed Denial of Secrets.