Escolas e universidades dos Estados Unidos e da Europa estão sendo atacadas por um caminho que quase ninguém vigia: o servidor de impressão. Duas falhas recém-divulgadas do PaperCut, software usado para controlar cotas, custos e filas de impressão, foram encadeadas por criminosos para entrar sem senha e rodar comandos dentro da rede.
A informação é da Arctic Wolf, empresa de segurança que acompanhou os ataques, e foi publicada pelo The Hacker News. Se você tem uma clínica, um escritório de contabilidade, uma indústria ou uma loja, a pergunta não é se você usa PaperCut. A pergunta é qual é o seu equivalente: aquele sistema secundário, instalado por um fornecedor antigo, que continua ligado, continua acessível pela internet e não aparece em nenhuma lista de manutenção.
O que aconteceu, sem jargão
As duas brechas têm identificação pública: CVE-2026-81578 e CVE-2026-82078. Uma delas permite pular a tela de login. A outra permite mandar o servidor executar programas escolhidos pelo atacante. Juntas, formam uma sequência desagradável: quem chega pela internet não precisa de usuário nem de senha e, ainda assim, passa a dar ordens à máquina. Foi isso que a Arctic Wolf observou em servidores PaperCut vulneráveis, de escolas de ensino básico a grandes universidades.
Depois de entrar, o comportamento descrito é o de quem está fazendo o reconhecimento do terreno. Os invasores rodaram comandos para levantar quais máquinas existem, quais usuários estão cadastrados, quais processos rodam e onde estão os arquivos de configuração mais sensíveis. Também criaram contas com privilégio de administrador, o que significa deixar uma cópia da chave escondida embaixo do tapete para voltar depois, mesmo que a falha original seja corrigida.
O alvo não era a impressão, era a senha
Este é o ponto que muda a conversa para quem decide. A movimentação dentro dos servidores incluiu ferramentas de coleta do registro do Windows e cargas ligadas ao Metasploit e ao Meterpreter, dois pacotes conhecidos de invasão. Em ambiente controlado, os pesquisadores viram um arquivo chamado lsa_collect.exe extrair chaves específicas do registro para remontar a BootKey do sistema. Com ela em mãos, abre-se a base SAM, que é onde o Windows guarda as credenciais das contas locais.
Traduzindo para o dia a dia da sua empresa: o crime não estava atrás do relatório de impressão do mês. Estava atrás de logins. E login roubado costuma servir em mais de uma fechadura, porque a mesma senha do administrador aparece no servidor de arquivos, no sistema de gestão, no acesso remoto e, às vezes, até no roteador. A própria Arctic Wolf aponta esse risco: as credenciais capturadas podem abrir caminho para outros sistemas críticos do ambiente.
Por que isso não é assunto só de escola
Nenhuma clínica, transportadora ou fábrica é atacada por causa do seu ramo. Ela é atacada porque tem um endereço na internet respondendo a quem bate na porta. Varreduras automáticas percorrem faixas inteiras de endereços procurando serviços conhecidos, e o servidor de impressão publicado para o dono conseguir imprimir de casa entra nessa lista igualzinho ao de uma universidade.
Na prática, o PaperCut é apenas o nome da vez. A mesma história se repete com outros sistemas que quase ninguém trata como críticos:
- gravador de câmeras liberado na internet para o dono ver o movimento pelo celular;
- relógio de ponto com painel web acessível de fora da empresa;
- área de trabalho remota aberta para o contador acessar o sistema fiscal;
- servidor de arquivos antigo que ficou de pé só porque um setor ainda usa;
- sistema de automação predial ou de ar-condicionado instalado pelo fornecedor da obra.
Cada um desses itens é um ponto de entrada esquecido. A correção não é heroica: é saber o que está publicado, fechar o que não precisa estar aberto e colocar um firewall gerenciado na frente do que precisa continuar acessível, liberando o acesso por túnel privado em vez de deixar a porta escancarada.
Servidor que não precisa ser acessado de fora não deveria ter endereço na internet. É a decisão mais barata e a menos tomada.
O que a sua empresa faz nesta semana
O material divulgado traz um roteiro de defesa bastante objetivo, e ele cabe em qualquer empresa, com PaperCut ou sem. São cinco decisões que dependem do dono, não do técnico:
- Tire da internet o que é interno. A orientação para o PaperCut é justamente essa: o servidor não deve ficar exposto. Quem precisa acessar de fora entra por VPN.
- Peça o inventário do que está publicado. Uma lista simples, por escrito, com cada serviço acessível de fora, quem pediu, para quê e desde quando. Se o fornecedor não souber responder, você já tem um problema mapeado.
- Estabeleça prazo para atualização. Falha divulgada é falha conhecida por todo mundo, inclusive por quem ataca. Combine com o responsável de TI um prazo fixo para aplicar correções em servidores expostos e cobre o relatório.
- Separe e revise as senhas de administrador. Senha de administrador não se repete entre sistemas, não fica anotada em planilha e não se usa no dia a dia. Vale também listar as contas privilegiadas existentes e apagar as que ninguém reconhece.
- Coloque alguém para olhar. Os sinais de alerta citados são bem específicos: execução de cmd.exe, powershell.exe e outros interpretadores de comando, além de comandos como whoami e tasklist tendo o processo pc-app.exe como pai. Isso só vira alarme se houver monitoramento 24 horas por trás.
Vale acrescentar um sexto item, que não veio da notícia e sim da nossa experiência de campo: teste a restauração. Um acesso indevido pode terminar em dados criptografados, e a diferença entre um susto e uma parada de dias está em ter backup com restauração testada, não apenas backup rodando.
Quem olha a sua rede quando ninguém está no escritório
O detalhe mais incômodo desse tipo de invasão é o silêncio. Não há tela azul, não há aviso, não há lentidão evidente. Um comando roda às três da manhã, uma conta nova aparece, um arquivo é copiado, e a empresa segue trabalhando normalmente por semanas. Por isso a resposta correta raramente é comprar mais um equipamento; é ter alguém acompanhando os sinais e sabendo o que fazer quando eles aparecem.
Esse acompanhamento tem nome: NOC, um time que lê os alertas continuamente, revisa o que está exposto na borda da rede, ajusta as políticas de firewall por perfil de usuário e confere se as cópias de segurança realmente voltam. Nenhum desses itens custa perto do que custa uma semana de operação travada.
Fonte: The Hacker News — Attackers Exploit PaperCut Flaws to Steal Credentials From Schools and Universities, setembro de 2026.
A Ragnatela projeta, instala e opera a infraestrutura de TI de empresas brasileiras: redes, firewall, nuvem privada em data center Tier III, backup e monitoramento 24 horas. Se você não sabe dizer hoje o que da sua empresa está acessível pela internet, fale com a Ragnatela e vamos levantar isso com você.
Perguntas frequentes
Minha empresa não usa PaperCut. Ainda assim isso me afeta?
Sim, porque o problema não é a marca do software. É o hábito de deixar um sistema interno acessível pela internet sem ninguém acompanhando. Troque PaperCut por gravador de câmeras, relógio de ponto ou acesso remoto e a lógica do ataque é a mesma.
O que quer dizer um servidor exposto à internet?
Quer dizer que qualquer pessoa, de qualquer lugar do mundo, consegue chegar até aquele serviço digitando um endereço. Robôs varrem a internet inteira procurando esses endereços o dia todo, sem escolher setor nem tamanho de empresa.
Como eu descubro se alguém já entrou na minha rede?
Por sinais que só aparecem para quem monitora: contas de administrador criadas sem pedido, comandos incomuns partindo de um serviço que só deveria imprimir ou registrar ponto, acessos fora de horário. Sem monitoramento contínuo, esse tipo de invasão passa despercebido.
Trocar todas as senhas resolve o problema?
Ajuda, mas sozinho não basta. É preciso corrigir a falha que permitiu a entrada, tirar o serviço da exposição pública, revisar as contas privilegiadas existentes e confirmar que o backup está íntegro e que a restauração foi testada.
