Invasão a plataforma de sessões de navegador começou com chave de API vazada e chegou a servidores em dez dias, diz empresa

Um comunicado publicado em 4 de novembro de 2026 pela empresa Kernel descreve uma invasão que começou com uma chave de API comprometida e que, em cerca de dez dias, chegou a servidores com GPU da própria infraestrutura.

A cronologia segundo a empresa

A empresa registra os horários em UTC, e o primeiro evento ocorreu em 24 de outubro, às 21h18, quando um terceiro usou uma chave de API vazada para ler dados de perfis internos.

Em 27 de outubro, às 18h01, o mesmo agente comprovou acesso a uma conta de funcionário do provedor de registros de sistema da empresa, e dali baixou dados que incluíam algumas chaves de API da Kernel e segredos de terceiros de implantações de aplicativos.

A Kernel só declarou o incidente em 2 de novembro, às 22h20, depois que um cliente afetado acionou a empresa às 19h28, e a chave comprometida foi encontrada e revogada dez minutos depois.

Em 3 de novembro, entre 5h41 e 7h17, o agente usou uma credencial comprometida da conta no provedor de hospedagem para acessar quatro servidores com GPU da infraestrutura da empresa.

Segundo o comunicado, três desses servidores executavam sessões de navegador da Kernel, e o quarto não continha dados de clientes.

Às 9h00 de 3 de novembro, a empresa concluiu que o incidente declarado na véspera e o novo episódio tinham o mesmo agente, e às 11h12 registrou a análise de causa raiz e os indicadores de comprometimento.

Contenção, escopo e preservação de prova

Entre 14h e 22h50 UTC de 3 de novembro, a empresa executou a contenção, e as comunicações aos clientes afetados foram redigidas e enviadas nesse intervalo.

A Kernel afirma que o incidente atingiu 0,28% dos seus clientes e que todas as credenciais que os servidores atingidos podiam acessar foram trocadas.

Segundo o texto, a empresa retirou o acesso do agente ao provedor de registros, bloqueou os endereços IP envolvidos e tirou os servidores afetados do ar.

O comunicado informa também que um dos servidores, de desenvolvimento e sem dados de clientes, foi clonado e guardado em armazenamento seguro para análise forense, às 11h27 de 3 de novembro.

Leitura pericial da cadeia

Para o perito, a cadeia descrita é de credenciais que abrem a porta de um fornecedor depois do outro, e a investigação precisa seguir cada elo para saber onde o primeiro vazamento começou.

A lacuna de dez dias entre a primeira atividade registrada e o acesso aos servidores é o dado mais sensível do comunicado, porque a atividade de 24 de outubro só virou incidente em 2 de novembro, depois que um cliente acionou a empresa.

Do ponto de vista da prova, o texto não traz dados verificáveis por terceiros, como registros de log ou hashes de arquivos, e informa que a impressão técnica do atacante só é fornecida sob pedido.

A empresa atribui o ataque a um agente financeiramente motivado, ligado a uma campanha maior de mineração de criptomoedas, mas descreve essa atribuição como crença da equipe e não como conclusão confirmada.

O que ainda não se sabe

O comunicado não diz como a chave de API vazou, e também não informa se a causa raiz foi formalmente confirmada, já que apenas registra que a análise foi estabelecida.

Ele não identifica investigadores externos, e não há, até o momento desta conferência, relatório independente publicado sobre o caso.