Um aluno recebeu acesso administrativo por engano

O chamado chegou depois que um aluno percebeu menus e informações que nunca deveriam aparecer em sua conta, então a prioridade deixou de ser apenas corrigir a tela e passou a ser interromper o acesso sem apagar as pistas que mostrariam como aquela permissão havia sido concedida.

Em vez de começar pela correção mais provável, conferimos se o endereço usado estava correto, se a conta permanecia ativa, qual método de autenticação estava atribuído, quando havia ocorrido o último acesso bem sucedido e se a falha atingia apenas aquele usuário ou todos que dependiam do mesmo serviço, porque redefinir a senha novamente poderia apenas esconder por alguns minutos uma inconsistência de LDAP, SSO, certificado ou cadastro.

A partir dos horários e usuários reunidos, reproduzimos o login em uma sessão limpa e acompanhamos os registros gerados desde o envio do formulário até a resposta do provedor de identidade, comparando a conta afetada com outra do mesmo perfil que ainda conseguia entrar e verificando horário, origem, retorno recebido e mudanças recentes na configuração.

O detalhe decisivo surgiu ao repetir o caminho completo sem pular nenhuma etapa, pois o resumo inicial de que uma permissão indevida permitiu que um aluno visualizasse dados e configurações reservados à administração. passou a coincidir com uma diferença concreta encontrada no caminho da autenticação, então a correção foi testada primeiro de forma controlada e depois repetida com perfis distintos para garantir que o acesso havia voltado sem abrir permissões além do necessário.

Revogamos o acesso administrativo, encerramos as sessões abertas e suspendemos a conta pelo tempo necessário para a verificação, preservando os registros e revisando os papéis atribuídos para saber o alcance da exposição, depois a conta voltou somente com as permissões corretas e o caso seguiu documentado para auditoria.