O analista de segurança da informação Carlos Eduardo Zambelli Aloi, de 38 anos, foi oficialmente agradecido pela Nasa depois de apontar vulnerabilidades em plataformas digitais da agência norte-americana. A carta, assinada pela diretora sênior de segurança da informação, Tamiko Fletcher, chegou em novembro de 2025, depois de seis meses de testes conduzidos pelo profissional brasileiro.
A iniciativa de Aloi começou em meados de 2025. Entre junho e dezembro, ele dedicou de três a quatro horas diárias — geralmente entre 21h e 2h — à procura de brechas. O trabalho ocorreu fora do expediente como analista de sistemas sênior em uma grande rede de estacionamentos, atividade que desempenha em São Paulo, e depois das aulas de pós-graduação em cibersegurança ofensiva.
Nesse período, foram enviados 26 relatórios à Nasa por meio da plataforma Bugcrowd, canal oficial usado pela agência para recebimento de notificações de segurança. Duas das falhas apresentadas foram validadas: uma permitiu acesso a um documento restrito no Google Docs com conteúdo científico relacionado a eventos magnéticos e vento solar; a outra expôs diretórios internos que continham repositórios de código, senhas e endereços IP.
Segundo o especialista, a resposta da agência demorou semanas e, em alguns momentos, relatórios foram inicialmente rejeitados como “sem impacto”. Mesmo assim, a persistência resultou no reconhecimento formal, embora sem remuneração financeira. “Era um objetivo pessoal receber essa carta”, afirmou Aloi, que utiliza o codinome “Kazam” em comunidades de hacking, junção do apelido “Kadu” com o sobrenome Zambelli.
O feito inseriu o brasileiro no “hall da fama” mantido pela Bugcrowd para a Nasa. A agência esclarece que apenas relatórios confirmados e cujas correções foram implementadas recebem a “Letter of Recognition” (LOR). O documento destaca que o trabalho de Aloi “ajudou a proteger a integridade e a disponibilidade das informações” da instituição.
Além do paulista, outros dois brasileiros aparecem no ranking da Bugcrowd, mas não responderam aos contatos da reportagem. A Nasa, questionada sobre os detalhes das descobertas, limitou-se a reiterar a existência da Vulnerability Disclosure Policy, programa que permite a qualquer pesquisador relatar brechas “de boa-fé” e garante interlocução durante o processo de correção.
Aloi conta que a maratona de testes foi também uma forma de lidar com o luto pela morte do pai, em outubro de 2025. Ele atua há mais de 20 anos em tecnologia da informação e, há cerca de uma década, concentra-se em segurança digital. A experiência acumulada inclui participação em programas semelhantes, alguns deles com recompensas em dinheiro.
De posse da carta, o brasileiro passou a receber solicitações de orientação de interessados em seguir os mesmos passos. Ele afirma que pretende continuar contribuindo com relatórios para a Nasa e outras organizações, utilizando o conhecimento adquirido em sua trajetória profissional.
Com informações de G1
Siga o Foco SE e entre no nosso grupo de notícias de Sergipe.
