Câmera IP do condomínio: o que o síndico deve perguntar sobre firmware, senha e rede

Condomínio Por Juliano Baladão · 4 de novembro de 2026 · 8 min de leitura

O que a Kaspersky encontrou em câmeras IP da Intelbras?

O comunicado da Kaspersky, de 28 de outubro de 2026, atribui a descoberta à equipe GReAT e cita os modelos iM3B-C, iMX C, iM4 C, iM5 SC, iME 360 C e iM7+ FC, em versões compatíveis com o firmware vulnerável. Segundo o texto, houve mais de 4 milhões de downloads desse firmware, a maioria na América Latina, com o Brasil à frente. O problema está no mecanismo de atualização: o endpoint não pede autenticação e não confere a validade do firmware enviado antes de iniciar a atualização.

O efeito descrito é negação de serviço. Um invasor consegue forçar a reinicialização, e a câmera fica cerca de um minuto sem transmitir; pedidos repetidos prolongam a indisponibilidade, segundo o relato da VoiceData, de 3 de novembro de 2026. Os dois textos dizem que a Intelbras corrigiu a falha e disponibilizou firmware atualizado.

A divergência sobre a origem do ataque importa para o síndico, e não consegui resolvê-la: a resposta está no relatório técnico, que não li. Por isso o restante do texto trata os dois cenários. Há ainda um efeito que interessa a quem depende de gravação como prova: uma câmera que reinicia deixa uma lacuna no registro, e a lacuna pode cair justamente no momento que importava. O texto sobre o relógio da câmera como parte da prova mostra o outro lado do mesmo problema.

Por que a câmera IP é um computador na rede do condomínio?

Uma câmera IP não é só lente e cabo. Ela executa um sistema, oferece serviços de rede, aceita login e recebe atualizações. Cada serviço acessível é uma porta de entrada em potencial, e a atualização de firmware, que é o ponto da falha de outubro, é um desses serviços.

O padrão de ataque mais conhecido nem exige falha nova. Em 19 de dezembro de 2023, a CISA, agência de cibersegurança dos Estados Unidos, afirmou que configurações de fábrica de dispositivos e sistemas embarcados costumam trazer senhas publicamente documentadas, que muitas organizações não trocam. Atacantes usam ferramentas como o Shodan para achar esses equipamentos expostos na internet e entram com as credenciais de fábrica. O alerta trata de dispositivos embarcados em geral, não só de câmeras, e a lógica se aplica a elas inteira.

A senha de fábrica da câmera precisa ser trocada?

Sim, e antes de a câmera entrar em operação. A senha de fábrica vem no manual, e o manual é público. A CISA recomenda credenciais exclusivas, trocadas com regularidade, e autenticação multifator onde houver. Quando o equipamento não oferece segundo fator, a proteção passa a depender de quem consegue alcançá-lo pela rede, o que leva ao tema das seções seguintes.

Um risco evidente é a senha única para todas as câmeras e para o gravador, escolhida na instalação e conhecida por todo técnico que já passou por lá. Uma credencial que abre tudo transforma o vazamento de uma conta em exposição de todas as imagens. A lição do caso do Smart Sampa é a mesma, em escala de prefeitura: o risco está em quantas câmeras uma só credencial alcança.

Peça ao instalador uma lista de contas por equipamento, sem as senhas, dizendo quem tem acesso de administrador. Na saída de um técnico ou de um prestador, as senhas que ele conhecia são trocadas. É administração, não tecnologia: ninguém precisa entender de rede para exigir a lista.

Quem atualiza o firmware da câmera do condomínio?

A resposta deveria estar no contrato de instalação ou de manutenção; se não está, ninguém é responsável. A atualização corrige falhas como a de outubro, e a VoiceData recomenda manter o firmware em dia depois de conferir o modelo, a versão instalada e as orientações do fabricante. Atualizar às cegas também tem risco: um firmware novo pode mudar configuração ou comportamento, e uma câmera que reinicia no meio do processo fica fora do ar.

A prática que descrevo a seguir é leitura nossa de boa administração, não exigência de norma. Mantenha um inventário com modelo e versão de cada câmera e do gravador. Inscreva alguém, o instalador ou a administradora, nos avisos de segurança do fabricante. Atualize em horário combinado, uma câmera de teste primeiro, e registre data, versão anterior e versão nova. O registro é o que permite dizer, meses depois, em que estado estava o equipamento.

A câmera deve ficar na mesma rede dos moradores?

Não existe lei que mande separar, e o que segue é boa prática. A VoiceData recomenda segmentar a rede, usar firewall e conexões seguras e restringir o acesso às configurações conforme a função de cada usuário. Na prática, as câmeras e o gravador ficam em uma rede própria, e o Wi-Fi dos moradores, o da administração e o dos visitantes ficam em outras. O que precisa alcançar a câmera, como o gravador e o servidor de análise, passa por uma regra explícita.

Se a falha de outubro exigir rede local, como diz a VoiceData, a separação reduz o número de aparelhos capazes de tentar o ataque. Se o comunicado da Kaspersky estiver certo ao não descartar a internet, o que protege é não haver redirecionamento de porta apontando para a câmera. Nos dois casos, o acesso remoto deve passar por um serviço autenticado do fabricante ou por uma conexão privada, e não por uma porta aberta no roteador.

O que a LGPD pede do condomínio sobre a segurança das câmeras?

O art. 46 da LGPD manda os agentes de tratamento adotarem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados. O §2º acrescenta que elas valem da concepção do produto ou serviço até a execução. O art. 6º, VII, repete a ideia como princípio da segurança, e o art. 48 manda comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante.

“medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados”

Lei nº 13.709/2018 (LGPD), art. 46, caput.

A lei não lista controles para câmera. Quem decide quais medidas são aptas é o controlador, e a pergunta que ele precisa poder responder é concreta: o que protege a imagem desta câmera, quem confere e onde isso está registrado. A ANPD publicou, em 21 de junho de 2024, um guia orientativo de segurança da informação para agentes de tratamento de pequeno porte, com checklist; não li o PDF e não afirmo que o condomínio se enquadre nessa categoria. O texto sobre quem pode ver as imagens do condomínio trata do acesso, e o sobre como a ANPD fiscaliza câmeras com IA descreve o que ela pode pedir.