Siga o Olhar Digital no Google Discover
Uma falha em um sistema de Nota Fiscal Eletrônica (NF-e) expôs os dados pessoais de consumidores tomadores de serviço em várias cidades no Rio Grande do Sul e, potencialmente, também em Santa Catarina.
Ofertas
Por: R$ 89,90
Por: R$ 52,07
Por: R$ 298,00
Por: R$ 475,87
Por: R$ 235,28
Por: R$ 36,22
Por: R$ 549,00
Por: R$ 49,90
![Controle sem fio Microsoft Xbox - Edição Especial Heart Breaker [android,ios,windows,xbox_one,xbox_series_s,xbox_series_x]](/wp-content/uploads/ofertas/produtos/2025/12/controle-sem-fio-microsoft-xbox-edia-a-o-especial-heart.jpg)
Por: R$ 549,00
Por: R$ 727,20
Por: R$ 27,81
Por: R$ 71,99
Por: R$ 178,49
Por: R$ 174,69
Por: R$ 198,99
Por: R$ 4.299,00
Por: R$ 203,92
Por: R$ 179,00
Por: R$ 209,90
Por: R$ 166,19
Segundo Gustavo Filomena, Gestor de TI que descobriu a falha, ela “permite que um atacante com um CNPJ possa baixar o arquivo XML no padrão ABRASF de qualquer NF-e emitida. Basta o CNPJ da empresa e o número da NF-e, visto que o sistema não valida o campo chamado ‘Código Verificação’, que seria um código exclusivo para cada NF-e emitida”.
O que agrava o problema é que as notas fiscais são emitidas com numeração sequencial, baseada em ano/número. Isso permite a execução de scripts para download automático de dados, visto que há um terceiro problema: a “Palavra de verificação” (um tipo de captcha) implementada como mecanismo de segurança não expira após o download do arquivo, permanecendo ativa.
Uma reprodução da falha pode ser vista abaixo. Neste exemplo, a pesquisa foi realizada com um CNPJ, e o número da NF-e. O código de verificação foi uma simples sequência de dígitos no teclado (1234567890)
Gustavo, que tem 32 anos e trabalha há 16 com Tecnologia da Informação, conta como descobriu o problema: “foi por acidente, sou usuário da NF-e de São Leopoldo, descobri a falha e reportei assim que soube. Inicialmente tinha aberto apenas o protocolo em São Leopoldo, porém, a ouvidoria insistia no prazo de 30 dias úteis para resposta. Mesmo que eu ligasse e pedisse para ser direcionado ao setor responsável, nunca fui devidamente atendido”.
A falha foi notificada à prefeitura de São Leopoldo em 01/05. “Depois disto, fui atrás de outras prefeituras na qual utilizassem o mesmo sistema, visto que, onde trabalho, temos diversos emissores de NF-e. Ao achar algumas em comum, fiz o teste e reportei o problema no dia 10/05 à prefeitura de Passo Fundo e em seguida à Thema Informática, responsável pelo sistema. Na última semana, cobrei a Thema sobre uma posição a respeito, porém a resposta é vaga, apenas informando que estão trabalhando a respeito com as prefeituras”.
Leia mais:
- Vazamento de 3,2 bilhões de senhas contém 68.535 do governo brasileiro
- Dados de 4,8 milhões de usuários do Descomplica são expostos em vazamento
- Vítima de vazamento de dados do Facebook publica vídeo mostrando as informações guardadas pelo site
Em um e-mail enviado a Gustavo no dia 31/05, 21 dias após a falha ser relatada, um membro da equipe de suporte da Thema Informática afirmou: “estamos trabalhando diariamente. Referente ao prazo, trabalhamos em conjunto com a TI da Prefeitura, pois temos processos e devem ser seguidos. Solicito que aguarde a resolução”.
Gustavo confirmou que o problema existe em São Leopoldo, Esteio, Passo Fundo e Montenegro, todas cidades no Rio Grande do Sul. Pode ocorrer também em outras cidades que usam o sistema da Thema, como Lajeado (RS), Taquara (RS), Montenegro (RS), Venancio Aires (RS) e Gaspar (SC).
Em declaração ao Olhar Digital, Gustavo explica que seu objetivo ao divulgar a falha é simples: agilizar a correção. “A LGPD (Lei Geral de Proteção de Dados) é clara quanto às falhas, porém, o poder público parece não ter entendido ainda a gravidade deste tipo de vazamento. Acredito que existe uma disparidade de controle entre TI’s privadas e o poder público”.
O outro lado
“Desde o dia 10/05/2021 a Thema Informática está adotando as medidas necessárias para a correção da inconsistência apontada. Nesse sentido, todos os clientes foram devidamente comunicados e a funcionalidade do sistema ‘Consulta de NFS-e’ encontra-se indisponível. Em tempo, informamos também que o Sr. Gustavo Filomeno foi comunicado acerca das providências tomadas pela empresa”, explicou a Thema Informática ao Olhar Digital.
Já assistiu aos nossos novos vídeos no YouTube? Inscreva-se no nosso canal!
Tags: