# Invasão a plataforma de sessões de navegador começou com chave de API vazada e chegou a servidores em dez dias, diz empresa

- Publicado: 07.Nov.2026
- Assunto: Perícia digital
- Endereço: https://nexocausal.eng.br/artigos/invasao-kernel-cronologia-chave-de-api-e-servidores-gpu/
- Fonte original: Kernel, comunicado oficial de incidente de segurança (Kernel Blog), https://www.kernel.sh/blog/public-notice-of-security-incident-nov-4-2026, 04.Nov.2026 (inglês)
- Marcadores: invasão, chave de API, credenciais vazadas, provedor de registros, servidores GPU, resposta a incidente
- Como citar: NEXO CAUSAL, "Invasão a plataforma de sessões de navegador começou com chave de API vazada e chegou a servidores em dez dias, diz empresa", 07.Nov.2026, https://nexocausal.eng.br/artigos/invasao-kernel-cronologia-chave-de-api-e-servidores-gpu/

## O que importa

- A Kernel, empresa que oferece sessões de navegador a clientes, publicou em 4 de novembro de 2026 um comunicado com a cronologia de uma invasão detectada em 2 de novembro.
- Segundo a empresa, a intrusão começou em 24 de outubro com uma chave de API comprometida e avançou por um provedor de registros de sistema e por uma credencial de hospedagem até quatro servidores com GPU.
- A empresa diz que o incidente atingiu 0,28% dos seus clientes e que registrou a análise de causa raiz em 3 de novembro.

Um comunicado publicado em 4 de novembro de 2026 pela empresa Kernel descreve uma invasão que começou com uma chave de API comprometida e que, em cerca de dez dias, chegou a servidores com GPU da própria infraestrutura.

## A cronologia segundo a empresa

A empresa registra os horários em UTC, e o primeiro evento ocorreu em 24 de outubro, às 21h18, quando um terceiro usou uma chave de API vazada para ler dados de perfis internos.

Em 27 de outubro, às 18h01, o mesmo agente comprovou acesso a uma conta de funcionário do provedor de registros de sistema da empresa, e dali baixou dados que incluíam algumas chaves de API da Kernel e segredos de terceiros de implantações de aplicativos.

A Kernel só declarou o incidente em 2 de novembro, às 22h20, depois que um cliente afetado acionou a empresa às 19h28, e a chave comprometida foi encontrada e revogada dez minutos depois.

Em 3 de novembro, entre 5h41 e 7h17, o agente usou uma credencial comprometida da conta no provedor de hospedagem para acessar quatro servidores com GPU da infraestrutura da empresa.

Segundo o comunicado, três desses servidores executavam sessões de navegador da Kernel, e o quarto não continha dados de clientes.

Às 9h00 de 3 de novembro, a empresa concluiu que o incidente declarado na véspera e o novo episódio tinham o mesmo agente, e às 11h12 registrou a análise de causa raiz e os indicadores de comprometimento.

## Contenção, escopo e preservação de prova

Entre 14h e 22h50 UTC de 3 de novembro, a empresa executou a contenção, e as comunicações aos clientes afetados foram redigidas e enviadas nesse intervalo.

A Kernel afirma que o incidente atingiu 0,28% dos seus clientes e que todas as credenciais que os servidores atingidos podiam acessar foram trocadas.

Segundo o texto, a empresa retirou o acesso do agente ao provedor de registros, bloqueou os endereços IP envolvidos e tirou os servidores afetados do ar.

O comunicado informa também que um dos servidores, de desenvolvimento e sem dados de clientes, foi clonado e guardado em armazenamento seguro para análise forense, às 11h27 de 3 de novembro.

## Leitura pericial da cadeia

Para o perito, a cadeia descrita é de credenciais que abrem a porta de um fornecedor depois do outro, e a investigação precisa seguir cada elo para saber onde o primeiro vazamento começou.

A lacuna de dez dias entre a primeira atividade registrada e o acesso aos servidores é o dado mais sensível do comunicado, porque a atividade de 24 de outubro só virou incidente em 2 de novembro, depois que um cliente acionou a empresa.

Do ponto de vista da prova, o texto não traz dados verificáveis por terceiros, como registros de log ou hashes de arquivos, e informa que a impressão técnica do atacante só é fornecida sob pedido.

A empresa atribui o ataque a um agente financeiramente motivado, ligado a uma campanha maior de mineração de criptomoedas, mas descreve essa atribuição como crença da equipe e não como conclusão confirmada.

## O que ainda não se sabe

O comunicado não diz como a chave de API vazou, e também não informa se a causa raiz foi formalmente confirmada, já que apenas registra que a análise foi estabelecida.

Ele não identifica investigadores externos, e não há, até o momento desta conferência, relatório independente publicado sobre o caso.