Em segurança da informação, "man-in-the-middle" — homem no meio — é o nome de um ataque específico: alguém se coloca entre duas partes que acreditam estar conversando diretamente, e passa a ver, registrar ou alterar tudo o que atravessa esse ponto do caminho. A definição da OWASP, referência internacional em segurança de aplicações web, é direta: um atacante que intercepta a comunicação entre dois sistemas. O ataque depende de uma coisa: nenhuma das duas pontas pode perceber que há um terceiro ali.

Este texto trata de uma variante que não precisa de ataque nenhum, porque o terceiro é convidado. Chamamos de Sam-in-the-middle, em alusão ao Tio Sam: é quando um site — de empresa, de governo, de qualquer um — coloca, entre si e o visitante, uma empresa sob jurisdição dos Estados Unidos, sem forçar nada, só por decisão de arquitetura. Acontece no captcha que resolve a conta de quem entra num formulário, no script que mede quantas pessoas visitaram uma página, e — o caso mais sério, porque é o que carrega o dado mais sensível — no servidor que recebe e processa o e-mail. Ninguém precisa invadir nada. O caminho já foi construído assim.

O motivo de isso importar não é abstrato. Uma investigação do VERBO, com levantamento técnico publicado à parte — dados brutos, código e método abertos para qualquer pessoa reproduzir —, encontrou esse padrão em escala, dentro do próprio território .gov.br brasileiro: recorrente, sistemático, e presente em proporção considerável da administração pública, não como exceção isolada. Este texto explica o que é esse padrão, por que ele é sério mesmo sem prova de que algo ruim já aconteceu, e por que "os servidores ficam no Brasil" — a defesa mais comum — não responde à pergunta.

Três portas, um problema

A primeira porta é o captcha. Aquela caixinha de "não sou um robô", ou o desafio de selecionar imagens, quase sempre vem de um serviço de terceiro — o reCAPTCHA, do Google, ou o hCaptcha, de uma empresa americana menor, a Intuition Machines. Segundo os próprios termos do Google, a API do reCAPTCHA "funciona coletando informações de hardware e software, como dados do dispositivo e do aplicativo e os resultados de verificações de integridade, e enviando esses dados ao Google para análise". Na versão mais recente do produto, não existe nem caixinha: o sistema dá, silenciosamente, uma nota de risco a cada visitante, e a própria documentação recomenda instalá-lo "no plano de fundo das páginas, para análise" — não só no formulário que precisa de proteção —, porque funciona melhor "quando tem o máximo de contexto sobre as interações com o seu site". Em abril de 2026, o Google mudou até o enquadramento jurídico do produto: deixou de se apresentar como controlador dos dados que coleta e passou a se declarar mero operador, processando "conforme instruções" do site que o contratou — o que empurra, para cada site que usa a ferramenta, a responsabilidade legal por um algoritmo de avaliação de risco que esse mesmo site não tem acesso a entender.

A segunda porta é o rastreador. Ferramentas de medição de audiência — a mais comum sendo o Google Tag Manager, seguida de perto por scripts de redes sociais — são carregadas em um número expressivo de páginas de serviço público brasileiras, inclusive em sistemas onde o cidadão consulta a própria situação fiscal, o próprio histórico de saúde ou os próprios dados bancários. Pela forma como a web funciona, um script carregado de um servidor externo roda com os mesmos poderes do código da própria página: a OWASP é explícita que código de terceiro ganha "exatamente os mesmos privilégios" concedidos ao usuário, podendo ler campos de formulário e acessar cookies. Mesmo quando o script não faz nada além do anunciado — o que não há, nesse caso, prova de que aconteça —, cada carregamento entrega ao servidor de origem, por definição técnica, o endereço IP de quem acessou, o navegador usado, e a página específica visitada. Um cidadão que consulta a própria dívida, o próprio processo ou o próprio prontuário avisa a uma empresa americana, nesse instante, que fez exatamente isso.

A terceira porta, a mais grave, é o e-mail. O registro MX é a entrada pública do DNS que diz, para qualquer servidor do mundo, para onde entregar o e-mail de um domínio — uma consulta que qualquer pessoa faz em segundos, com uma ferramenta gratuita. O levantamento técnico do VERBO consultou esse registro para milhares de domínios de administração pública brasileira, em todas as esferas e nos quatro Poderes, e encontrou uma fração relevante — a maioria, em alguns recortes — apontando para servidores da Microsoft ou do Google, empresas americanas. Em alguns casos, o e-mail nem sequer é armazenado no Brasil: mensagens autênticas — assinatura digital validada, não phishing usando o nome do órgão — foram flagradas, em cabeçalho técnico preservado, passando por servidores localizados fisicamente fora do Brasil antes de chegar ao destino, mesmo quando o domínio de origem era de infraestrutura formalmente brasileira.

"Os dados ficam no Brasil" não responde à pergunta

A defesa mais comum para esse arranjo é que os dados ficam guardados em data centers dentro do país. Isso costuma ser parcialmente verdade — e não resolve nada. A própria Microsoft, por exemplo, documenta que, quando o cliente contrata no Brasil, ela armazena "em repouso" dentro do país o conteúdo das caixas de e-mail: corpo das mensagens, calendário, anexos. Mas essa garantia é só sobre o dado já guardado. Sobre o caminho que a mensagem percorre até chegar lá, a documentação diz o oposto: mesmo o recurso pago que permite escolher o país de cada caixa traz a ressalva, da própria empresa, de que "não garante o roteamento de e-mail por uma região geográfica dedicada (dados em trânsito)". Guardar no Brasil não é o mesmo que trafegar só pelo Brasil — e é exatamente esse trânsito que a investigação técnica do VERBO confirmou acontecer, com mensagem real, não só em teoria.

O problema de fundo não é onde fica o prédio. É de quem é a empresa.

A lei que atravessa o servidor

Três instrumentos legais americanos explicam por que a localização física nunca foi a pergunta certa.

O CLOUD Act, de 2018, alterou a lei americana de comunicações armazenadas para obrigar qualquer provedor sob jurisdição dos Estados Unidos a preservar e entregar comunicações e registros de clientes que estejam em sua "posse, custódia ou controle" — nas palavras literais do texto legal, "independentemente de essa comunicação, registro ou informação estar localizada dentro ou fora dos Estados Unidos". A obrigação acompanha a empresa, não o endereço do data center. A própria Microsoft já admitiu isso sob juramento: numa audiência no Senado francês, em junho de 2025, um executivo da empresa foi perguntado se podia garantir que dados de cidadãos franceses nunca seriam transmitidos às autoridades americanas sem acordo explícito da França. A resposta, registrada em ata: "Não, não posso garantir isso".

A Seção 702 da Lei de Vigilância de Inteligência Estrangeira (FISA) permite às agências de inteligência dos Estados Unidos coletar comunicações de estrangeiros fora do país, sem mandado individual, por meio de diretivas dirigidas diretamente às empresas de tecnologia americanas — é a base legal do programa PRISM, revelado por Edward Snowden em 2013. A lei teve um detalhe de calendário que merece registro preciso: em junho de 2026, pela primeira vez desde sua criação em 2008, o Congresso americano deixou a autorização expirar num impasse político. Mas as certificações já aprovadas pelo tribunal secreto de inteligência dos EUA continuam válidas até março de 2027 — a própria lei prevê que certificações e diretivas já emitidas sobrevivem à expiração do texto que as autorizou. Na prática, a coleta prossegue.

A Ordem Executiva 12333, de 1981, rege a vigilância que a agência de segurança americana conduz fora do território dos EUA. Segundo o Brennan Center, instituto de direito ligado à Universidade de Nova York, a vigilância feita exclusivamente sob essa ordem não passa por revisão nem aprovação de nenhum tribunal — e ela não depende do Congresso, não expira.

Esses poderes não são teóricos, nem teoria de conspiração: a própria Microsoft publica, com seis meses de atraso e em faixas de mil contas — o máximo de granularidade que a lei americana permite revelar —, quantas contas foram atingidas por ordens da FISA que exigiam conteúdo de comunicação. No último período em que o dado pôde ser confirmado na fonte oficial, foram entre 15.000 e 15.499 contas, num único semestre, numa única empresa. A lei proíbe a divulgação de quais países foram afetados.

Não é um risco que pode se materializar um dia — é uma capacidade legal ativa, em vigor, sobre infraestrutura que já está em produção, hoje, entre o cidadão brasileiro e o serviço que ele usa.

O Brasil já foi alvo — e a técnica ficou mais discreta

Não é hipótese: o Brasil já foi alvo documentado desse aparato. Documentos revelados por Snowden em 2013 e exibidos pelo programa Fantástico apontaram a então presidente e a maior estatal brasileira como alvos de monitoramento americano. Na mesma leva de documentos, um slide descrevia, com diagrama, um ataque man-in-the-middle literal: redirecionar o tráfego de um alvo destinado ao Google e usar um certificado de segurança falso para ler o conteúdo sem criptografia — trabalho ativo de invasão, feito serviço por serviço.

O que este levantamento mostra é que essa mesma vantagem, hoje, boa parte já não precisa ser forjada. Quando um serviço público delega o próprio e-mail a uma empresa americana, ou embute em suas páginas o captcha e o rastreador de outra, o "homem no meio" não precisa mais invadir nada — só esperar. É a versão passiva, legal e muito mais barata do mesmo problema que exigiu esforço técnico ativo em 2013.

Quando a chave foi usada de verdade

Dois episódios recentes, fora do Brasil, mostram o que significa, na prática, depender de uma única empresa estrangeira para uma função crítica — e o risco não é hipotético em nenhum dos dois casos.

Em fevereiro de 2025, depois de o governo americano impor sanções a um procurador internacional, o e-mail institucional dele — hospedado na Microsoft — foi cortado. A empresa negou ter suspendido o serviço voluntariamente e disse que a decisão coube à instituição afetada; mais tarde, admitiu perante um parlamento europeu que esteve "em contato durante todo o processo que resultou na desconexão" do funcionário sancionado. A instituição migrou para uma suíte de código aberto, mantida por um centro de soberania digital europeu. Foi a demonstração mais nítida possível de que uma decisão do Executivo americano pode alcançar a caixa de e-mail de uma instituição internacional inteira, sem passar por nenhum tribunal do país afetado.

No mesmo período, um grupo de espionagem ligado a um Estado estrangeiro forjou credenciais usando uma chave criptográfica roubada da própria Microsoft e leu caixas de e-mail de mais de vinte organizações no serviço de e-mail em nuvem da empresa, incluindo agências de governo. Dezenas de milhares de mensagens foram baixadas ao longo de semanas antes de a invasão ser detectada — e não foi a Microsoft quem detectou. Um conselho oficial de revisão de segurança cibernética concluiu que o ataque era evitável e atribuiu o sucesso dele a uma "cascata de falhas de segurança" da própria empresa.

Concentrar o correio institucional numa única empresa expõe esse correio não só à lei do país onde ela está sediada, mas também a qualquer falha técnica dessa empresa — e o próprio governo americano, cliente mais poderoso que essas empresas têm, já pagou o preço das duas coisas.

O espelho: o que os Estados Unidos fazem quando o fornecedor é estrangeiro

A melhor medida de como um país avalia esse tipo de risco é ver o que ele faz quando a situação se inverte. Em 2024, o Departamento de Comércio americano proibiu a venda e a atualização de um antivírus de origem russa em todo o território dos EUA, concluindo que a empresa representava "risco inaceitável" à segurança nacional pela possibilidade de coletar e usar informação sensível — primeira proibição desse tipo contra um software no país. Em 2025, a administração de uma das casas do Congresso americano proibiu um aplicativo de mensagens de propriedade de uma big tech americana — mas operado por uma empresa cuja transparência sobre proteção de dados foi considerada insuficiente — nos aparelhos oficiais dos próprios funcionários. E uma diretiva federal obrigatória, em vigor desde 2017, exige que todo domínio do governo americano publique a política mais forte de autenticação de e-mail, justamente para impedir que o próprio nome do governo seja usado para falsificar mensagem.

A lógica é coerente: dado de Estado não deveria ficar ao alcance de empresa sujeita a governo estrangeiro. O padrão encontrado nesta apuração mostra que o Brasil, em escala relevante, ainda não aplica a si mesmo o mesmo critério.

O cidadão não pode dizer não

A diferença entre isso e uma simples escolha de consumo é a compulsoriedade. Quem não gosta de um buscador troca de buscador. Quem precisa acessar um serviço público essencial — previdência, tributos, saúde, registro civil — não tem versão alternativa desse serviço. Não existe "outro" sistema de aposentadoria, "outra" Receita, "outro" sistema único de saúde. Se o portal de entrada carrega captcha de empresa estrangeira, ou se o e-mail de confirmação de um cadastro sai por servidor no exterior, o cidadão nunca teve escolha real — só a opção de usar o serviço nos termos em que ele foi construído, ou ficar sem acesso ao próprio direito.

A legislação brasileira já tem instrumento pra isso, mesmo que pouco aplicado na prática. O Marco Civil da Internet manda aplicar a lei brasileira a qualquer coleta de dado em que ao menos um terminal esteja no país, mesmo por empresa sediada no exterior. A Lei Geral de Proteção de Dados exige cláusulas contratuais específicas para transferência internacional de dado pessoal, obrigatórias desde agosto de 2025. O problema é estrutural, não de redação de lei: nenhuma cláusula de contrato brasileiro suspende uma lei de vigilância americana — e a autoridade responsável por fiscalizar justamente esse tipo de transferência enfrenta o mesmo dilema de qualquer outro órgão público na hora de escolher fornecedor de tecnologia.

Há ainda uma comparação que a própria Constituição já oferece, e que ajuda a dimensionar o tamanho do problema. A carta de papel, em qualquer democracia com tradição de sigilo postal, é tratada como correspondência inviolável, protegida por monopólio estatal justamente por ser sensível demais para operador privado. O Brasil confirmou judicialmente esse monopólio para a carta física. A versão eletrônica da mesma correspondência oficial — o e-mail que um cidadão troca com o próprio governo — não tem, hoje, proteção equivalente: em proporção relevante dos casos, ela sai do país antes mesmo de o cidadão perceber que enviou algo.

O Estado já sabia — e ainda assim isso aconteceu

O ponto mais desconfortável desta apuração é que nada disso é surpresa para quem administra infraestrutura pública no Brasil. Depois das revelações de espionagem de 2013, chegou a existir norma federal exigindo que órgãos da administração usassem e-mail fornecido pela própria administração pública — revogada anos depois. Uma instrução normativa mais recente, do órgão responsável por segurança da informação do governo federal, exige que dados de órgãos federais transferidos a um provedor de nuvem fiquem hospedados em território brasileiro, e que o contrato impeça o fornecedor de liberar dado a "empresas nacionais, transnacionais, estrangeiras, países e governos estrangeiros" — exigência que esbarra no mesmo limite: nenhuma cláusula de contrato assinado no Brasil tem poder sobre uma lei aprovada em Washington. E, mais recentemente, um tribunal de contas com jurisdição sobre gasto público federal já afirmou, formalmente, em decisão sobre um contrato de nuvem de governo, que "soberania digital não se resume à localização física dos servidores" — que ela envolve "controle jurídico, capacidade de governança, autonomia operacional", e apontou risco concreto na "capacidade de governos estrangeiros de obter acesso a informações armazenadas por empresas sujeitas à sua jurisdição, mesmo quando os dados estão fisicamente localizados em outro território".

O Estado brasileiro já escreveu, em decreto, em norma e em decisão de tribunal de contas, exatamente o risco que este texto descreve. E, mesmo assim, o padrão de dependência que o levantamento técnico encontrou continua lá.

Ingenuidade ou descaso?

É a pergunta que qualquer leitor faz diante de um padrão dessa escala, e ela merece resposta honesta: nada nesta apuração prova intenção deliberada de expor dado de cidadão, nem conluio entre gestor público e interesse estrangeiro. O que os fatos mostram é outra coisa, e não é menos grave: decisões técnicas tomadas por preço, conveniência ou simples falta de alternativa considerada no momento da contratação — sem que a pergunta "essa empresa responde a que lei, e onde" tenha entrado, de fato, na análise de risco.

Não é preciso má-fé para o resultado ser sério. O CLOUD Act, a Seção 702 e a Ordem Executiva 12333 não dependem da intenção de quem contratou o serviço. Dependem só de o dado estar, na prática, sob posse de uma empresa americana. E essa condição, hoje, boa parte da internet pública brasileira cria por conta própria — muitas vezes sem saber que criou.

O que está provado, e o que não está

Está provado, com método reproduzível e dado bruto disponível para conferência: uma fração relevante de sites brasileiros, incluindo sistemas de serviço público que lidam com dado sensível do cidadão, carrega código de terceiro sob jurisdição americana — captcha, medição de audiência, ou ambos; parte considerável dos domínios de administração pública brasileira, em diferentes esferas e Poderes, delega o próprio e-mail a empresas americanas; mensagens autênticas de órgãos públicos, com assinatura digital validada, já foram registradas em trânsito por servidor fisicamente fora do Brasil; o arcabouço legal americano — CLOUD Act, Seção 702, Ordem Executiva 12333 — dá ao governo dos Estados Unidos capacidade formal de exigir dado de qualquer empresa sob sua jurisdição, independentemente de onde o dado esteja guardado; a própria Microsoft já admitiu, sob juramento, não poder garantir que isso não aconteça com dado de um país terceiro; o Brasil já foi alvo documentado desse aparato de vigilância; e o próprio Estado brasileiro já reconheceu esse risco, por escrito, em norma federal e em decisão de tribunal de contas — sem que isso, até aqui, tenha mudado o padrão de contratação em escala.

Não está provado: que a inteligência americana tenha, de fato, acessado o e-mail ou o dado de algum cidadão brasileiro especificamente por meio dessas portas. Pelas próprias regras de sigilo das leis americanas citadas, uma ordem desse tipo não seria comunicada ao país afetado — o que significa que a ausência de prova não é prova de ausência, mas também não autoriza afirmar o contrário sem base. Também não está provado, e este texto não sugere, que qualquer decisão específica de contratação tenha sido tomada de má-fé.

A diferença entre essas duas listas é, em si, parte do problema: a arquitetura como está montada hoje não dá, ao próprio Estado, como saber se o acesso aconteceu.

O que fica

Chamar isso de ameaça hipotética subestima o que já está documentado. Não é um risco que talvez se materialize no futuro — é uma capacidade legal ativa, em vigor, sobre uma parcela relevante e crescente da infraestrutura que intermedeia hoje a relação entre o Estado brasileiro, empresas brasileiras e o cidadão comum. E, na maior parte dos casos identificados, isso não exigiu nenhum ataque: só a arquitetura padrão de mercado, adotada sem que a pergunta sobre jurisdição tenha sido feita.

A solução também não é ficção tecnológica. Servidor de e-mail é tecnologia de décadas; existem alternativas de captcha e de medição de audiência hospedadas no próprio país, com o mesmo nível de funcionalidade. Nem toda infraestrutura pública brasileira caiu nessa armadilha — existem, hoje, exemplos de órgãos e sistemas que mantêm e-mail e captcha em infraestrutura nacional, prova de que o problema não é impossibilidade técnica. Na Europa, ministérios inteiros trocaram suíte de escritório americana por alternativa aberta em 2025 citando exatamente esse tipo de risco, e uma instituição internacional inteira abandonou um grande fornecedor americano depois de ver, na prática, o que significa depender dele.

A pergunta que fica não é se dá para fazer diferente. É por que, sabendo do risco, documentado pelo próprio Estado, isso ainda não virou critério obrigatório de contratação — e quantos sites brasileiros, público ou privados, continuam abrindo essa porta hoje, sem nem saber que abriram.

A Pangeia Labs, que mantém este espaço, está desenvolvendo uma ferramenta pra responder essa última pergunta em escala: batizada Sentinela, vai permitir que qualquer pessoa teste um domínio — o do próprio site, o de um órgão público, o de qualquer serviço que use — e veja, na hora, se ele abriu alguma dessas portas. Quando estiver pronta, o VERBO atualiza este texto com o link.

Fontes: