O Eurosatory 2026 aconteceu no último mês em Paris – mais de 2.000 expositores e cerca de 76.000 participantes no maior salão mundial de defesa e segurança. Um dos quatro eixos estratégicos desta edição foi “superioridade multidomínio: cyber, espaço, IA e novos desafios digitais“. Não é mais tema de bastidor técnico. É agenda corporativa central.
A Infinity Safe esteve lá, no estande da ABIMDE (Hall 5b, C100) – justamente porque entendemos contrainteligência da mesma forma: não como acessório de segurança, mas como infraestrutura de decisão.
Os próximos meses vão exigir exatamente esse tipo de infraestrutura. Espiões infiltrados em empresas concorrentes, spyware de Estado migrando para o mundo corporativo, vazamentos seguem expondo dados de centenas de milhões de brasileiros, e a vulnerabilidade que abre esta edição prova algo incômodo: você pode blindar toda a criptografia de aplicativo do mundo e ainda assim, estar sendo escutado pela camada que vem antes dela.
É exatamente esse tipo de lacuna, a distância entre o que parece seguro e o que de fato é, que a 2ª turma da nossa Imersão TSCM existe. Em setembro, em São Paulo, reunimos profissionais de segurança para formação prática em contramedidas técnicas.
Antes de qualquer decisão estratégica deste semestre, vale revisar o que está em jogo. É para isso que existe esta curadoria.
Espionagem corporativa com nome, sobrenome e Ethereum
A Rippling processa a concorrente Deel, acusando-a de ter recrutado um funcionário da própria Rippling, baseado na Irlanda, como espião pago em criptomoeda (US$ 5 mil por mês), com instruções para vasculhar Slack, Salesforce e Google Drive em busca de informações de clientes e estratégia comercial.
O esquema só foi descoberto porque a Rippling montou uma armadilha (um canal falso no Slack, técnica conhecida como honeypot) para confirmar a suspeita. Em fevereiro de 2026, um juiz federal negou o pedido da Deel para encerrar o processo, e o caso já gerou abertura de investigação criminal pelo Departamento de Justiça dos EUA. Não é mais alegação: é espionagem corporativa documentada, com contramedida de inteligência sendo o que efetivamente desmascarou o esquema.
Quando o espião de Estado vira espião de mercado
O spyware Pegasus, criado pelo grupo israelense NSO e historicamente associado à vigilância de jornalistas, ativistas e chefes de Estado, está expandindo seu alvo: executivos dos setores financeiro, imobiliário e de logística agora aparecem entre os infectados.
A ferramenta explora vulnerabilidades de celular sem exigir qualquer clique da vítima, e é praticamente indetectável sem perícia forense especializada. O dado é um alerta direto para a liderança corporativa: tecnologia de vigilância de nível estatal não fica mais restrita a alvos políticos.
O Brasil redesenha as regras da contrainteligência
Tramitam simultaneamente no Congresso dois projetos que redefinem a base legal da inteligência brasileira: o PL 6423/2025, no Senado, cria definições normativas para espionagem, contrainteligência, sabotagem e interferência externa, além de regular o uso de ferramentas de monitoramento remoto sob reserva de jurisdição; o PL 648/2022, na Câmara, já aprovado em comissão, profissionaliza o comando da ABIN.
É a institucionalização de um campo que, até pouco tempo, operava sob regras esparsas, e um sinal de que o Estado está tratando espionagem e contraespionagem como categoria jurídica própria, não como nota de rodapé da segurança nacional.
251 milhões de CPFs à venda por US$ 500
Em abril, a plataforma de inteligência de ameaças Vecert expôs a oferta, na dark web, de uma base chamada “MORGUE”, atribuída ao portal Gov.br, com mais de 251,7 milhões de registros – incluindo filiação e dados de óbito.
O Ministério da Gestão negou invasão confirmada, mas o alerta é claro: organizações não podem esperar a confirmação oficial de um vazamento para agir.
Quando o fornecedor de inteligência se torna o vazamento
O CTIR Gov classificou como crítico o vazamento de código-fonte, bancos de dados e arquivos internos da Dígitro Tecnologia – fornecedora de sistemas de interceptação usados por mais de 150 instituições governamentais e órgãos de segurança pública.
Por se tratar de um ataque à cadeia de suprimentos, qualquer organização que dependa dela passa a estar exposta também.
A torre de celular que não existe
Brian Benigno
Imagine que você está em uma reunião de diretoria, no escritório, no carro, em qualquer lugar. Seu celular mostra sinal cheio. Tudo parece normal. E ainda assim, naquele exato momento, alguém pode estar lendo cada mensagem de texto que você envia, ouvindo cada chamada que você faz e sabendo exatamente onde você está. Não porque invadiram seu WhatsApp. Não porque clonaram seu Signal. Mas porque, antes de qualquer aplicativo entrar em cena, seu próprio celular já se conectou a uma torre que não é real.
Isso se chama IMSI catcher – também conhecido como rogue BTS ou torre de celular falsa. O princípio é simples e, justamente por isso, devastador: todo smartphone busca a torre com sinal mais forte ao redor e se conecta a ela sem verificar se é legítima. Um IMSI catcher explora exatamente essa falha de autenticação, emitindo um sinal mais potente que as antenas de operadora ao redor e forçando os aparelhos próximos a se conectarem a ele. A partir daí, o dispositivo atua como um intermediário invisível: repassa as comunicações para a rede real enquanto captura, em silêncio, tudo o que passa por ele.
“É como blindar o cofre e esquecer a porta aberta: você reforça exatamente o ponto que o invasor já não precisa mais atacar, porque encontrou um caminho mais simples ao lado.”
Aqui está o ponto que a maioria das empresas ainda não entendeu: criptografia de aplicativo não resolve esse problema. WhatsApp, Signal e e-mail criptografado protegem o conteúdo da mensagem, mas o ataque do IMSI catcher acontece numa camada anterior – a da própria rede celular.
O que era tecnologia restrita a agências de inteligência estatais há uma década hoje é acessível a atores corporativos e criminosos sofisticados, com equipamentos comerciais disponíveis internacionalmente por valores que já entram no orçamento de escritórios de advocacia, consultorias e empresas privadas. E o dano não se limita à escuta: em configuração ofensiva, o mesmo equipamento pode isolar seletivamente um único aparelho da rede, ou derrubar a conectividade de toda uma sala de reunião, sem que ninguém entenda por quê.
A boa notícia é que essa ameaça é detectável, com a ferramenta certa. Aplicativos comerciais de detecção, vendidos em lojas de aplicativo, costumam gerar falsos negativos contra equipamentos mais sofisticados. A varredura técnica especializada, por outro lado, identifica anomalias de espectro de radiofrequência que nenhum app de celular é capaz de captar: potência anômala de célula, downgrade forçado de protocolo, padrões de Cell ID inconsistentes.
Se sua empresa trata informações estratégicas em reuniões presenciais, a pergunta não é se uma varredura ambiental é necessária. É quando foi a última vez que você fez uma.
O que a lei brasileira já prevê (e o que ainda não prevê) sobre espionagem industrial
Para quem quer ir além da curadoria de notícias deste ciclo: um panorama de como o Brasil trata juridicamente a espionagem corporativa hoje – Lei de Propriedade Industrial, Código Penal e a ausência de um tipo penal específico para espionagem fora do contexto militar.
Leitura recomendada para qualquer área jurídica ou de compliance que ainda não tenha mapeado os mecanismos de proteção a segredos empresariais disponíveis na legislação vigente.
Enciclopedia juridica – PUC/SP – Segredo da Empresa
SEG SUMMIT 2026
📍 Distrito Anhembi, 21 de outubro, São Paulo/SP ·
Tecnologia em segurança eletrônica, segurança patrimonial e facilities
