Renseignement russo: mais de 87 000 câmeras IP mal configuradas espionam as entregas de armas à Ucrânia

Um parecer conjunto AIVD/MIVD (serviços de inteligência neerlandeses) datado de 10 de julho de 2026 documenta uma campanha russa que explora câmeras IP expostas na Internet para rastrear os comboios de armamento com destino a Kyiv através da UE e da OTAN.

Os fatos

Um parecer conjunto publicado em 10 de julho de 2026 pela AIVD (serviço de inteligência civil neerlandês) e pelo MIVD (serviço de inteligência militar) documenta uma campanha de espionagem atribuída a « pelo menos um serviço de inteligência russo » — sem nomear publicamente a unidade GRU em questão. A análise da empresa Censys, citada pelo The Hacker News, estima a exposição de mais de 87 000 câmeras conectadas à Internet cuja versão do serviço executado corresponde a uma CVE conhecida e explorada, distribuídas na UE, nos Estados-membros da OTAN e na Ucrânia (incluindo mais de 4 000 câmeras vulneráveis na Ucrânia). Apenas nos Países Baixos, 45 386 câmeras expostas são contabilizadas, das quais 1 992 executam serviços vulneráveis.

Duas CVE são citadas como principais alavancas:

• CVE-2016-7407 — ferramenta dropbearconvert do Dropbear SSH (importação de chaves) — 159 hosts neerlandeses sinalizados.
• CVE-2021-39275 — escrita fora dos limites no Apache — 112 hosts neerlandeses sinalizados.

O modus operandi descrito não tem nada de sofisticado: varredura em massa, fingerprinting por marca, exploração de senhas padrão, firmwares desatualizados e configurações de fábrica. O objetivo é militar: localização de rotas de transporte, cargas de armas com destino a Kyiv e posições de tropas ucranianas. Na Ucrânia, as autoridades indicam que os fluxos de vídeo capturados foram usados em tentativas de eliminação de pessoal e destruição de equipamentos.

O que isso revela sobre o cenário

Nenhum 0-day aqui. As vulnerabilidades exploradas têm respectivamente 10 e 5 anos. É um lembrete útil: o serviço de inteligência adversário não precisa de exploits exóticos quando uma parcela significativa do parque de IoT opera em configuração de fábrica, acessível a partir da primeira varredura no Shodan. A lição não é nova, mas é cruel: cada câmera retirada da caixa, conectada atrás de um roteador mal configurado e deixada como está desde 2018, torna-se um sensor para o adversário.

O que fazer agora

Para qualquer organização que opera ou distribui sistemas de videovigilância IP (público, logística, defesa, mas também varejo e imobiliário):

1. Auditar a exposição na Internet: shodan search, censys search em seus IPs públicos (services.software.vendor + services.software.version).
2. Remover da Internet o que não deve estar lá: a maioria das câmeras comprometidas não deveria estar exposta. Colocar atrás de um VPN ou de um reverse proxy autenticado.
3. Alterar as credenciais padrão (sempre e novamente) e impor uma política de rotação.
4. Verificar os firmwares: aplicar os patches do Dropbear (>= 2016.75) e do Apache para a CVE-2021-39275.
5. Segmentar a rede de vídeo da rede de TI/OT para limitar o movimento lateral.

Fontes primárias: o parecer AIVD/MIVD (via ncsc.nl) e o relatório da Censys são os documentos a consultar — não a cobertura da imprensa.