A Apple diz que ex-funcionário explorou bug raro para baixar arquivos confidenciais após sair para a OpenAI

Na sexta-feira, a Apple divulgou a notícia bombástica de que está processando a OpenAI por supuesto roubo de segredos comerciais, afirmando que a OpenAI roubou os dados confidenciais da Apple e se envolveu em esforços para obter informações proprietárias ao recrutar ex-funcionários da Apple.

Ao acusar a OpenAI de roubar segredos sobre os produtos não lançados da Apple, a empresa revelou que um ex-funcionário teria extraído pilhas de arquivos confidenciais das pastas de rede compartilhadas da companhia, semanas depois de deixar a Apple para trabalhar na OpenAI.

Em sua petição inicial, a Apple diz que o ex-funcionário, um engenheiro eletricista de sistemas chamado Chang Liu, teria “explorado um bug de autenticação raro e até então desconhecido” que permitiu o acesso à rede da empresa. O bug é classificado como uma vulnerabilidade de dia zero, o que significa que a Apple não teve tempo de corrigi-lo antes que ele fosse supostamente explorado.

Desde então, a Apple corrigiu o bug e afirmou ter encerrado o acesso do funcionário assim que soube dessa “violação de segurança”. Em sua denúncia, a Apple disse que o bug poderia ter permitido que “poucas outras” pessoas acessassem dados em sua rede, mas alegou que apenas Liu explorou a falha para roubar as informações confidenciais da Apple quando já não era mais funcionário, citando uma verificação em seus registros de servidor. 

A revelação, embora escassa em detalhes, destaca os desafios que as organizações enfrentam para proteger dados corporativos confidenciais após o desligamento de funcionários. As empresas frequentemente agem para cortar imediatamente o acesso futuro de funcionários em desligamento, a fim de evitar que informações confidenciais sejam vazadas, inclusive de forma inadvertida. Empresas que não desativam completamente as contas de seus ex-funcionários podem enfrentar futuras falhas de segurança, violações de dados ou ações maliciosas por parte de funcionários insatisfeitos.

Porta-vozes da Apple não responderam a um e-mail do TechCrunch com perguntas sobre a vulnerabilidade de segurança, como ela foi explorada e quando a empresa desativou as credenciais do funcionário.

“LOL... que engraçado.”

Na denúncia, a Apple alegou que Liu pegou “dezenas de arquivos confidenciais da Apple relacionados a hardware” ao longo de várias semanas, enquanto já era um novo funcionário da OpenAI. 

A Apple disse que os arquivos continham “informações detalhadas sobre produtos não lançados, apresentações de engenharia, especificações técnicas e dados de projetos proprietários.” 

A empresa afirma que Liu não devolveu o laptop de trabalho fornecido pela Apple que ele havia usado anteriormente para acessar a rede da empresa, sugerindo que ele já teve a capacidade de enviar e receber arquivos dos sistemas internos da Apple. A petição apontava que Liu supostamente alegou ter “outro computador.” Enquanto estava na OpenAI, Liu também teria usado indevidamente o acesso de um conhecido, Yu-Ting Peng, que era funcionário da Apple na época e depois foi trabalhar na OpenAI. Liu teria usado o laptop de trabalho de Peng fornecido pela Apple “enquanto ela ainda era funcionária da Apple e ele não.”

A Apple afirmou que, durante fevereiro de 2026, Liu “tentou acessar o armazenamento de rede da Apple — um repositório de arquivos baseado em nuvem contendo os arquivos confidenciais de engenharia da Apple, documentação de projetos e outras informações proprietárias.”

Liu teria descoberto que “ainda podia acessar o repositório de rede da Apple após deixar a empresa, resultado de uma vulnerabilidade de autenticação até então desconhecida.”

A Apple não descreveu o “bug” de autenticação que Liu supostamente usou para acessar a rede da empresa. No entanto, bugs de autenticação geralmente se referem a falhas no processo de login que permitem acesso inadequado a sistemas ou dados, seja devido a uma fraqueza no funcionamento do mecanismo de login ou a uma configuração incorreta, como permissões excessivamente amplas ou a não desativação das credenciais de login de um ex-funcionário. 

A Apple escreveu em sua denúncia que, quando Liu soube que tinha acesso não autorizado aos sistemas da Apple, ele não relatou o bug à Apple conforme as obrigações de seu contrato de trabalho, nem devolveu o laptop de trabalho fornecido pela Apple. 

A petição acrescentou que Liu também não “excluiu o programa que permitiu o acesso” à rede da Apple. A empresa não especificou qual programa ou aplicativo Liu teria usado para acessar os sistemas da Apple. Não é incomum que os funcionários tenham ferramentas, como uma VPN aprovada pela empresa ou um aplicativo de visualização remota, que lhes permitam acessar dados confidenciais de fora dos escritórios da companhia usando suas credenciais.

Dado que Liu havia recebido anteriormente credenciais para a rede da Apple como funcionário, o TechCrunch perguntou à Apple quando a empresa desativou o acesso de Liu, mas não obtivemos resposta.

Assim que Liu supostamente obteve acesso ao compartilhamento de rede, ele escreveu para Peng: “LOL, descobri que consigo acessar o [armazenamento de rede], que engraçado.”

A Apple protocolou seu processo no Tribunal Distrital dos EUA para o Distrito Norte da Califórnia, em San Jose, e exigiu um julgamento por júri. A OpenAI disse anteriormente que “não tem interesse em segredos comerciais de outras empresas.”

O caso, se prosseguir, poderá ter início ainda este ano.