Sobre a implantação de uma política de bug bounty [1].

Este artigo foi criado com intenso apoio do ChatGPT 5.6 sol na geração do cenário e das providências.

^[1] Um bug bounty (“recompensa por bugs”) é um programa pelo qual uma organização autoriza pesquisadores externos a procurar vulnerabilidades em determinados sistemas e oferece recompensa, normalmente financeira, por falhas válidas reportadas de acordo com regras previamente definidas.

Considere uma mensagem imaginária recebida, por e-mail, por um tribunal.

“Foi recebida informação acerca de uma falha potencialmente relevante em um sistema processual utilizado pelo tribunal.

Segundo o relato, o problema está associado aos mecanismos destinados a restringir a consulta de informações protegidas. A falha teria sido verificada tecnicamente, tendo sido possível confirmar, de forma limitada, que determinadas informações que deveriam permanecer restritas poderiam ser acessadas.

A verificação teria sido encerrada assim que o comportamento foi confirmado. O comunicante declara não ter armazenado, reproduzido, modificado, eliminado ou divulgado as informações às quais eventualmente obteve acesso.

Há, segundo ele, elementos técnicos que permitem descrever a falha e fornecer à equipe responsável os dados necessários para sua reprodução e análise.

O comunicante manifesta disposição para encaminhar esses elementos de maneira reservada, diretamente à área competente, de modo a permitir a investigação e eventual correção do problema antes de qualquer divulgação a terceiros.

Também foi solicitada informação sobre a existência, no âmbito do tribunal, de procedimento institucional para recebimento de relatos dessa natureza, inclusive eventual programa de reconhecimento ou recompensa pela identificação e comunicação de vulnerabilidades.

Solicita-se, por fim, a indicação do canal adequado e das orientações necessárias para que as informações técnicas sejam encaminhadas de maneira segura e formal.”

Essa ocorrência revela uma lacuna institucional específica: o tribunal recebeu um relato espontâneo de vulnerabilidade crítica feito por alguém externo e aparentemente não dispõe de um procedimento claramente divulgado para recebê-lo.

O recomendado é adotar com prioridade uma Política de Divulgação Coordenada de Vulnerabilidades — CVD (Coordinated Vulnerability Disclosure), acompanhada de um Programa de Divulgação de Vulnerabilidades — VDP (Vulnerability Disclosure Program).

O ponto importante é distinguir isso de um bug bounty. O autor perguntou sobre recompensa financeira, mas o tribunal não precisa começar pagando recompensas. Pode começar estabelecendo oficialmente: “Se você descobrir uma vulnerabilidade em nossos sistemas, este é o canal, estas são as regras, estes são os limites dos testes e este é o compromisso do tribunal com quem agir de boa-fé.”

Uma política emergencial seria mais ou menos assim:

1. Canal oficial: criar algo como seguranca@tribunal.jus.br ou formulário próprio, administrado pela equipe de segurança, e publicar, por exemplo, em https://tribunal.jus.br/publico/seguranca.txt.
2. Porto seguro: estabelecer em quais condições o tribunal considera a pesquisa de boa-fé e como tratará pesquisadores que respeitem essas condições. Isso precisa passar pela área jurídica, especialmente porque sistemas judiciais contêm dados protegidos e processos em segredo de justiça.
3. Escopo: relacionar explicitamente os sistemas e domínios que podem ser avaliados e, principalmente, os que estão fora do escopo.
4. Limites: proibir indisponibilidade, DoS/DDoS, engenharia social, persistência, alteração ou destruição de dados, movimentação lateral, exploração além do estritamente necessário para demonstrar a falha e acesso desnecessário a informações de terceiros.
5. Regra de minimização: ao demonstrar algo, o pesquisador deve parar imediatamente, exatamente como o autor afirma ter feito.
6. Procedimento de resposta: acusar recebimento rapidamente, atribuir número ao caso, classificar severidade, designar responsável, reproduzir, mitigar, corrigir e posteriormente comunicar o encerramento ao pesquisador.
7. Confidencialidade e divulgação coordenada: pesquisador e tribunal combinam um período durante o qual os detalhes técnicos não serão publicados. A divulgação posterior deve depender da correção e das condições estabelecidas.
8. Reconhecimento: inicialmente pode existir apenas agradecimento formal ou lista de menções honrosas – isso ajuda no curriculum vitae do profissional de segurança. Um eventual bug bounty poderia ser estudado posteriormente, porque recompensa financeira em órgão público envolve questões orçamentárias, administrativas e jurídicas bem diferentes das de uma empresa privada.

A resposta ao e-mail

Não responderíamos simplesmente ao autor dizendo “mande as evidências”.

O relato indica uma possível falha no acesso e segurança. Isso pode ser muito mais grave que uma vulnerabilidade teórica. Ele afirma que explorou a falha até confirmar o problema.

Portanto, a sugestão seria a abertura imediata de duas linhas paralelas:

1. Pesquisa da origem e histórico legal do autor, verificando se há envolvimento em atividades criminais ou impeditivas. Por exemplo, o autor é apelido de um servidor do próprio tribunal ? Já foi processado por crime digital ? Esteve associado ao crime organizado ?
2. Resposta à vulnerabilidade: preservação do relato original, estabelecimento de um canal seguro com o autor, recebimento da prova técnica, reprodução da falha em ambiente controlado, identificação da causa e aplicação da mitigação emergencial.
3. Resposta ao incidente: verificar logs retrospectivamente para determinar se a mesma técnica já foi utilizada por outras pessoas. Essa segunda investigação é essencial. O autor pode ter sido apenas quem avisou; a vulnerabilidade pode existir há meses ou anos.
4. E há uma terceira dimensão: LGPD e sigilo processual. Se for confirmado o problema, deverá ser avaliado formalmente se houve incidente de segurança envolvendo dados pessoais e quais providências legais e regulatórias são cabíveis. Isso não deve ser presumido apenas pelo e-mail, mas também não pode ser ignorado.

A política maior

Seria oportuno aproveitar justamente esse episódio para propor ao tribunal uma estrutura de três níveis:

• Política de Segurança Cibernética
  • Política de Gestão de Vulnerabilidades
    • Programa de Divulgação Coordenada de Vulnerabilidades (VDP/CVD).

O VDP resolve precisamente o problema que apareceu nesta mensagem: “Uma pessoa de fora encontrou uma falha grave. O que ela deve fazer — e o que o tribunal deve fazer quando ela nos procura?”

Para um tribunal que mantém sistemas processuais acessíveis pela Internet, essa política é urgente. O caso é excelente para justificar administrativamente sua criação.

O autor está, na prática, perguntando se o tribunal já possui um bug bounty quando escreve “programa, procedimento ou política que preveja recompensa financeira pelo reporte de vulnerabilidades”.