{{subiu_caps | }}

{{subiu_linha | }}

6.312 endereços de email na terça, 6 de outubro. Foi o tamanho da planilha baixada às 14h12 da conta do Plantão Vet, a diária da veterinária Camila Rezende Prado, por alguém que a plataforma de envio não sabia identificar.

O Plantão Vet sai às 6h15, de segunda a sábado, para veterinários de cães e gatos de Goiás e do Distrito Federal. Traz um caso clínico contado por Camila, a dose de um medicamento conferida na bula e uma nota curta do mercado de ração e vacina. A News Makers opera a diária desde abril de 2025: pauta, montagem, envio e venda de patrocínio.

Três pessoas entravam na conta da plataforma. Camila, dona da diária e da clínica onde atende, em Goiânia. Rodrigo Seixas Amaral, editor da agência, que agenda a edição de madrugada, de Uberlândia. E Juliana Matos, secretária da clínica, que vende os patrocínios e manda os números aos anunciantes.

As três entravam pelo mesmo email e pela mesma senha, sem segundo fator, o código extra que a plataforma pede no celular além da senha. Para a plataforma, eram uma pessoa só. Toda edição agendada, todo leitor apagado e toda exportação entrava no histórico assinada por Camila.

A planilha trazia o email de cada leitor, a cidade e a data do cadastro. Para um laboratório ou uma marca de ração que vende direto a clínicas, uma lista assim poupa anos de visita de representante.

A agência ficou com duas perguntas abertas: quem tinha baixado o arquivo e onde ele estava agora. A terceira veio depois, quando as duas já tinham resposta: por que uma conta com 6.312 leitores deixava qualquer pessoa com a senha levar a lista inteira.

As duas primeiras respostas saíram de uma tela pouco visitada pela equipe: o registro de atividades da conta, a lista em que a plataforma anota cada acesso com hora, aparelho e cidade.

Continue lendo ↓

Rodrigo achou a linha na quinta, 8 de outubro, às 7h10, quando abriu o registro de atividades para conferir o envio da edição das 6h15. Dois dias abaixo do topo, estava escrito: exportação completa da lista, 6.312 contatos, terça, 14h12, usuária Camila.

Às 7h14, ele perguntou no grupo de WhatsApp da operação quem tinha baixado a lista. Camila respondeu às 7h40, entre duas consultas: não tinha sido ela. Juliana não respondeu: estava de folga quinta e sexta, na estrada para o casamento da irmã em Pirenópolis, com o celular quase sempre sem sinal.

Sem Juliana, Rodrigo leu o resto da linha. Para cada acesso, o registro guarda o aparelho, o navegador, o IP (o endereço numérico da conexão de internet) e a cidade aproximada. A exportação de terça veio de um computador com Windows, pelo Chrome, em Goiânia. Camila usa um Mac. Rodrigo trabalha de Uberlândia.

O IP batia com a internet da clínica. Rodrigo pediu à gerente, Sônia Ferraz, que abrisse o Chrome do computador da recepção e digitasse o endereço da plataforma. A conta do Plantão Vet abriu direto, sem pedir senha.

Até Juliana aparecer, a agência tratou a lista como vazada. Às 8h05, Rodrigo trocou a senha e encerrou todas as sessões abertas, o comando que desconecta qualquer aparelho conectado à conta. A senha nova foi para Camila por ligação, fora do grupo.

Juliana ligou o celular na sexta, às 9h10, 26 horas depois da pergunta. Tinha sido ela. Na terça, uma marca de ração de Anápolis pediu o número de leitores que atendem em Goiânia, para decidir um pacote de três meses de anúncio. Juliana não achou a contagem por cidade nas telas da plataforma, baixou a lista inteira e contou numa planilha: 2.874.

Ao patrocinador foi só o número, num email sem anexo, que Juliana encaminhou ao grupo como prova. O arquivo tinha ficado em dois lugares: na pasta de arquivos baixados do computador da recepção e na pasta Patrocínio do Google Drive da clínica, o disco virtual que a equipe divide.

Às 10h, numa chamada de vídeo, Juliana apagou as duas cópias e esvaziou a lixeira. Rodrigo conferiu o painel de compartilhamento da pasta: quatro contas da clínica, nenhum endereço de fora. A lista não tinha saído do prédio.

A resposta veio de um celular ligado na estrada, sem ajuda da conta, que nunca soube quem entrava. O arranjo das três pessoas vinha de abril de 2025.

Camila criou a conta do Plantão Vet num domingo de abril de 2025, com o email da clínica e uma senha feita da marca da diária e do ano. Naquela noite, mandou a senha no grupo de WhatsApp da operação, que tinha três pessoas, e fixou a mensagem no topo.

Era um login só, o par de email e senha que abre a conta, para três funções. Rodrigo agendava a edição. Juliana baixava o relatório de aberturas e cliques para o kit de mídia, o documento com os números da diária que vai aos anunciantes. Camila lia as respostas dos leitores. A senha não mudou em 18 meses.

Em maio de 2025, Camila chegou a ativar a verificação em dois passos, com o código por SMS no celular dela. Rodrigo agenda a edição entre 4h30 e 5h30, e no segundo dia, às 4h41, precisou ligar para Camila pedindo o código. Ela tinha saído do plantão noturno às 2h.

No terceiro dia, Camila desligou a verificação. Ninguém religou.

Com a senha, Juliana tinha os poderes da dona: apagar leitores, trocar o remetente, cancelar o plano e baixar a lista inteira. Ninguém escolheu dar esse acesso a ela: a conta só conhecia um papel.

Em agosto de 2025, Juliana entrou na plataforma pelo computador da recepção e clicou em salvar a senha no Chrome. Desde aquela tarde, a conta abria para quem sentasse ali: Juliana e outras quatro funcionárias, em dois turnos.

O segundo fator desligado pesava mais do que a equipe imaginava. Em maio de 2019, o Google publicou uma medição feita com pesquisadores de duas universidades americanas: o código mandado por SMS ao celular do dono barrou 100% dos robôs que testam senhas vazadas, 96% do phishing em massa (o email falso que imita a plataforma para pescar a senha) e 76% dos ataques direcionados.

Juliana só queria um número para o patrocinador. Kevin Mitnick, o americano que nos anos 1980 e 1990 arrancava senhas de funcionários de empresas por telefone, escreveu sobre o padrão:

Faltava regra escrita sobre quem podia baixar a lista, e faltava papel separado para quem só precisava de um número. A agência escreveu as duas na terça seguinte, com a conta aberta na tela.

Na terça, 13 de outubro, Camila, Rodrigo e Juliana passaram 40 minutos numa chamada de vídeo refazendo o acesso da conta. Saíram cinco mudanças:

1. Um login por pessoa. Camila convidou Rodrigo e Juliana pela plataforma, cada um no email de trabalho, com senha só sua.

2. Um papel por função. Camila ficou como administradora, com plano, remetente e exportação. Rodrigo virou editor: escreve, agenda e lê relatórios. Juliana recebeu só a leitura dos relatórios, o bastante para o kit de mídia.

3. Segundo fator em todo login, por aplicativo autenticador, o programa de celular que gera um código de seis dígitos válido por 30 segundos. Cada código sai do celular de quem entra.

4. Códigos de recuperação no cofre. Os dez códigos de reserva, que abrem a conta se o celular sumir, foram impressos e guardados num envelope.

5. Navegador limpo. A senha salva saiu do Chrome da recepção, e o login do email da clínica ficou só com Camila.

Antes de desligar, Juliana entrou com o login novo diante da câmera e procurou o botão de exportar. No papel dela, ele não aparece.

A exportação ganhou três linhas por escrito, fixadas no grupo onde antes ficava a mensagem com a senha:

• Só Camila exporta a lista.

• Todo pedido de exportação vai por escrito no grupo, com o motivo.

• O arquivo é apagado em até sete dias, e quem apagou avisa no grupo.

A contagem que Juliana não achou nas telas existia, num relatório de localização que só Rodrigo usava. Agora ela chega pronta: no primeiro dia útil do mês, Rodrigo manda ao grupo o número de leitores por cidade, sem arquivo anexo. Em novembro, a mensagem saiu no dia 3, com 2.903 leitores em Goiânia.

No mesmo dia útil, Rodrigo lê o registro de atividades e procura três sinais: exportação, acesso de cidade estranha e membro novo na conta. Na leitura de 3 de novembro, o registro tinha 61 acessos desde a mudança, todos assinados por quem entrou: 44 de Rodrigo, 12 de Camila e 5 de Juliana. Exportação, nenhuma.

A marca de ração de Anápolis assinou o pacote de três meses em 20 de outubro, com os 2.874 leitores de Goiânia no contrato.

A mudança custou R$ 0 e os 40 minutos da chamada. Às 4h30, Rodrigo digita os seis dígitos do próprio celular, e ninguém acorda.

Quantas pessoas sabem a senha da sua newsletter hoje, e quantas delas conseguem baixar a lista inteira?

Pra ir além do bastidor de hoje

🎓 Mentoria Viver de News

O acompanhamento do HC pra quem quer construir e viver de uma newsletter. Do zero à monetização, com o método que gerou a Alquimia.

🤝 Agência News Makers

A agência que constrói e opera a newsletter da sua empresa ponta a ponta. Estratégia, conteúdo e crescimento, tudo feito pra você.

As newsletters de quem escreve aqui

Alquimia da Mente

A newsletter diária do HC sobre mente, hábitos e performance. Mais de 15 mil leitores todo dia às 18:18. Leitura de 5 minutos que muda como você pensa o seu dia.

Copyletter

A newsletter do Lucão sobre copywriting que vende. As técnicas por trás de mais de R$ 200 milhões em campanhas, direto do teclado de quem escreveu.

Até amanhã, 07:07. HC & Lucão