Hacker Summer Camp: por que 50 mil profissionais de segurança vão a Las Vegas em agosto

Entre 1 e 9 de agosto, Las Vegas recebe dois eventos que acontecem colados um no outro e que, somados, reúnem cerca de 50 mil profissionais de segurança da informação em nove dias consecutivos. A comunidade chama o período de "Hacker Summer Camp".

Se você cuida da TI de uma empresa pequena ou média, provavelmente não vai a nenhum dos dois. Ainda assim, vale marcar essas datas no calendário, e este texto explica por quê.

Dois eventos, duas culturas

Black Hat USA 2026 acontece de 1 a 6 de agosto, no Mandalay Bay. É o lado corporativo da coisa: trainings pagos, briefings técnicos apresentados em formato de conferência acadêmica e um Business Hall onde os fabricantes de segurança lançam produto. Quem vai costuma ir a trabalho, de crachá da empresa.

DEF CON 34 acontece de 6 a 9 de agosto, no Las Vegas Convention Center. É a contraparte comunitária, mais antiga em espírito e menos formal: pesquisadores independentes, competições, áreas temáticas onde as pessoas põem a mão em equipamento real para tentar quebrá-lo.

Os dois se sobrepõem exatamente no dia 6, quando o Black Hat encerra o Business Hall e o DEF CON abre a retirada de credenciais. Muita gente faz os dois em sequência, o que explica o apelido de "acampamento de verão".

Por que isso importa para quem tem 20 máquinas, não 20 mil

A pergunta é justa: o que uma conferência em Las Vegas tem a ver com uma empresa de trinta pessoas no Brasil?

A resposta está no ciclo de divulgação de vulnerabilidade. Pesquisas de segurança apresentadas nesses eventos tratam, com frequência, de produtos de uso massivo: sistema operacional, roteador, firewall, câmera IP, VPN, protocolo de rede. O fabricante costuma ser avisado antes, num processo de divulgação coordenada, e o lançamento da correção tende a andar junto com a apresentação pública.

Na prática, isso significa que a janela entre o começo de agosto e as semanas seguintes concentra mais atualização crítica de fornecedor do que a média do ano. Não é uma regra absoluta, mas é um padrão consistente o bastante para entrar no seu planejamento.

E há o outro lado da moeda: assim que a pesquisa vira pública, o conhecimento de como explorar aquela falha também se espalha. A distância entre "isso foi apresentado num palco" e "isso está sendo usado contra alvos reais" costuma ser curta.

O que fazer, concretamente

Nada disso exige orçamento novo. Exige atenção em quatro pontos.

Ative e acompanhe os avisos de segurança dos seus fornecedores: firewall, roteador, switch, NAS, hipervisor, sistema operacional de servidor. Quase todo fabricante tem uma lista de advisories por e-mail e quase ninguém assina. Se você só descobre que existe correção quando alguém reclama, o processo está invertido.

Saiba o que você tem antes de precisar saber. Um inventário simples, com modelo, versão de firmware e data da última atualização, resolve 80% do problema de resposta rápida. Sem ele, a pergunta "estamos vulneráveis a isso?" leva dias para ser respondida. Com ele, leva minutos.

Tenha uma janela de manutenção já combinada. A parte demorada de aplicar uma correção urgente raramente é técnica: é conseguir autorização para derrubar o sistema. Deixar essa janela acordada antes evita a discussão no pior momento possível.

Desconfie do ciclo de notícia. Agosto produz manchete alarmista de segurança em série, muita dela sobre cenários de laboratório que exigem acesso físico ao equipamento ou condições que não existem na sua rede. Antes de entrar em pânico com uma falha, verifique três coisas: você usa esse produto, nessa versão, com esse recurso ativado?

O que costuma sair de lá

Historicamente, os temas que aparecem com mais força nesses eventos são falhas em infraestrutura de rede, comprometimento de cadeia de suprimentos de software, ataques a sistemas embarcados e, cada vez mais, segurança de sistemas de inteligência artificial, incluindo formas de manipular modelos e os agentes que agora executam ações reais em nome de usuários.

Esse último ponto conecta diretamente com o que temos acompanhado aqui no blog: à medida que agentes de IA ganham permissão para mexer em sistemas de verdade, a superfície de ataque muda de natureza. Invadir uma máquina deixa de ser o único risco. O novo risco é convencer um sistema autônomo a fazer algo que ele tem permissão para fazer, mas não deveria.

Em resumo

Você não precisa ir a Las Vegas. Precisa apenas tratar a primeira quinzena de agosto como um período de atenção redobrada a atualização de fornecedor, com o inventário em mãos e a janela de manutenção já negociada.

É o tipo de disciplina que não aparece em nenhum relatório enquanto está funcionando. E fica muito evidente no dia em que falta.

Referências

RelveHQ: Black Hat USA 2026: 1 a 6 de agosto, Mandalay Bay RelveHQ: DEF CON 34: 6 a 9 de agosto, Las Vegas Convention Center Netguardia: Black Hat USA 2026: Dates, Passes, and How to Actually Work the Conference