Sneakers (1992): o filme que explica o que é um pentest

Uma equipe invade um banco e depois explica ao dono por onde entrou. Ninguém é preso, porque ele mesmo contratou o serviço. Essa é uma das primeiras cenas de Sneakers (no Brasil, Quebra de Sigilo), de 1992, e ela explica melhor o que é um teste de intrusão do que muita apresentação de fornecedor.

O que é Sneakers

O filme foi dirigido por Phil Alden Robinson, com roteiro dele, de Lawrence Lasker e de Walter F. Parkes. Os dois últimos já tinham escrito WarGames, o filme de 1983 que assustou Washington com hackers. Robert Redford faz Martin Bishop, ex-hacker que lidera uma pequena empresa de testes de segurança. No elenco também estão Sidney Poitier, Dan Aykroyd, River Phoenix, Ben Kingsley, Mary McDonnell e David Strathairn.

A trama começa quando agentes que se apresentam como do governo contratam a equipe para roubar uma "caixa preta" de um matemático. O aparelho, dizem, quebra qualquer criptografia. Aos poucos o grupo descobre que o trabalho não é o que parecia, e que a caixa vale muito mais do que qualquer cofre de banco.

O que é um pentest, como o filme mostra?

Pentest (teste de intrusão) é um ataque simulado, autorizado e com escopo combinado, em que profissionais tentam invadir uma empresa para achar falhas antes de um criminoso achar.

Em Sneakers a lógica aparece logo no começo: o cliente contrata, a equipe invade e o resultado vira lição para corrigir a falha. É a diferença entre o que o grupo faz e o que um criminoso faz: autorização por escrito e entrega de resultado. Na prática de hoje, isso equivale ao documento de escopo e às regras de engajamento que qualquer pentest sério exige antes de começar.

Engenharia social: a cena da voz

A parte mais atual do filme não envolve computador nenhum. Para passar por um sistema de autenticação por voz, a equipe precisa da frase "Meu nome é Werner Brandes. Minha voz é minha senha. Verifique-me" (na versão em inglês, "My voice is my passport. Verify me."). Eles não quebram nada. Fazem um dos integrantes sair com o alvo para um jantar e conduzem a conversa até que ele diga as palavras certas, gravadas escondidas.

É engenharia social com gravação, o mesmo princípio de qualquer ataque de engenharia social: o elo fraco é a pessoa. Em 1992 era preciso um jantar e um gravador. Hoje uma amostra curta de áudio basta para clonar uma voz com IA, tema que já apareceu aqui no golpe de vishing com voz de IA e no texto sobre O Exterminador do Futuro e a voz clonada. Biometria de voz como única barreira ficou ainda mais frágil.

A caixa que quebra criptografia

O artefato central do filme é um aparelho baseado em um avanço matemático que permitiria ler qualquer comunicação cifrada. A ideia tem lastro real: boa parte da criptografia de chave pública que protege HTTPS, e-mail e bancos depende de que fatorar números enormes seja inviável na prática. O matemático Leonard Adleman, um dos criadores do RSA, foi consultor de matemática do filme, segundo as fontes sobre a produção.

O que o roteiro previu sem saber é o problema que a indústria enfrenta agora. Em 1994, dois anos depois do filme, Peter Shor publicou o algoritmo que, em um computador quântico grande o bastante, fatora números com eficiência. Esse computador ainda não existe em escala útil, mas o risco levou o NIST, órgão de padrões dos EUA, a publicar em agosto de 2024 os três primeiros padrões de criptografia pós-quântica (FIPS 203, 204 e 205). A "caixa preta" virou um item real de planejamento de segurança.

O que o filme acerta (e o que está datado)

• Acerta: o ataque físico e o humano pesam tanto quanto o técnico. Entrar com um pretexto convincente, distrair um funcionário e ler o que está na mesa continua funcionando.
• Acerta: o passado importa. Martin foi fugitivo por causa de uma travessura de juventude com computadores, e isso é usado contra ele. Pesquisador de segurança vive com esse risco até hoje.
• Acerta: o maior ativo costuma ser a informação, não o dinheiro. A equipe nunca cobiça o cofre, e sim o que o cofre guarda.
• Datado: as telas, os modems e a ideia de uma única caixa que abre tudo. Criptografia moderna não cai por um aparelho só, e o risco atual vem de implementação ruim e senha vazada bem mais que de matemática quebrada. Para ver isso na prática, leia sobre credential stuffing.

Vale ver em 2026?

Vale. É um filme de assalto com humor, ritmo bom e um elenco que se diverte, e o começo vale como aula de pentest sem jargão. Para conhecer a história real do outro lado da linha, leia sobre o caso Kevin Mitnick. Para montar uma maratona de ficção científica e thrillers de tecnologia, o Rei dos Filmes tem uma curadoria de filmes com nota, trailer e sinopse para ver o que falta na lista.

Se quiser ver o outro lado da história, o do atacante que não pediu autorização, comece pelo guia de engenharia social. E se esse texto for útil para alguém do seu grupo de amigos, os botões de compartilhamento no rodapé estão ali para isso.