CMSP Hacks: o que são, plataformas afetadas e a cobertura recente do fenômeno

Plataformas digitais de ensino integradas ao Centro de Mídias da Educação de São Paulo (CMSP).

O termo “CMSP Hacks” virou uma das buscas educacionais mais frequentes no Brasil em 2025 e 2026. A expressão se refere a scripts e bookmarklets que automatizam o cumprimento de atividades nas plataformas digitais ligadas ao Centro de Mídias da Educação de São Paulo, o CMSP. Em setembro de 2025, a Folha de S.Paulo publicou uma reportagem mostrando que esses scripts circulam em comunidades de Discord com centenas de milhares de membros e em sites públicos com milhões de visitas anuais. Este texto reúne o que se sabe sobre o fenômeno, em uma cobertura puramente descritiva.

O que é o CMSP

O Centro de Mídias da Educação de São Paulo, mais conhecido pela sigla CMSP, é a plataforma oficial usada pela Secretaria da Educação do Estado de São Paulo para entregar conteúdos pedagógicos a alunos e professores da rede estadual. Criada em 2020 durante a pandemia, a plataforma expandiu seu escopo e hoje integra serviços externos como Khan Academy e Matific, além de produtos próprios como Sala do Futuro, Tarefa SP e Redação Paulista.

A plataforma é gratuita para alunos matriculados na rede e funciona como uma camada agregadora: o estudante entra com seu login institucional e tem acesso a videoaulas, exercícios, provas, relatórios de desempenho e atividades que contam para a sua avaliação bimestral. A inscrição não é opcional para a maior parte das turmas, já que muitas atividades são vinculadas ao boletim escolar oficial.

O que se entende por “CMSP Hacks”

O termo coletivo “CMSP Hacks” foi cunhado pela própria comunidade que produz e distribui essas ferramentas. Em linhas gerais, descreve qualquer script ou bookmarklet que automatize o cumprimento de uma atividade da plataforma sem que o aluno precise resolver manualmente cada exercício. As principais variantes operam diretamente no navegador, sem instalação de programas ou jailbreak, e funcionam preenchendo respostas via APIs internas das plataformas integradas.

Em uma reportagem publicada em setembro de 2025, a Folha de S.Paulo descreveu o fluxo típico observado entre alunos: a estudante abre um script previamente salvo no navegador, seleciona as atividades pendentes da semana e em segundos elas aparecem como concluídas, com as respostas corretas registradas no histórico. A cobertura mostrou que esse fluxo já era praticado em escala em diversas escolas da rede estadual no momento da publicação.

Plataformas integradas e ferramentas em circulação

Os scripts não atuam apenas no CMSP em si, mas sobretudo nas plataformas externas que o CMSP integra. A tabela abaixo resume as ferramentas mais citadas em fóruns públicos e cobertura jornalística.

Esses scripts não são produzidos pelo CMSP nem por nenhuma das plataformas integradas. São desenvolvidos por terceiros, em geral sem identificação clara de autoria, e distribuídos por canais informais. O Centro de Mídias e a Secretaria da Educação têm a obrigação contratual de monitorar o uso e detectar padrões de atividade incomuns, embora a eficácia desses controles seja debatida publicamente.

Os principais polos de distribuição

A distribuição dos scripts ocorre sobretudo em quatro frentes públicas ou semipúblicas:

• Servidor de Discord: a Folha de S.Paulo identificou um servidor com mais de 200 mil membros como o principal canal de divulgação. Discord é frequentemente usado por essas comunidades porque permite organização por canais temáticos e atualizações rápidas em caso de quebra de funcionalidade.
• Sites agregadores: o domínio cmsphacks.xyz figura como ponto de partida para muitos alunos. Dados públicos de tráfego apontam mais de 567 mil visitas mensais em maio de 2026, segundo dados públicos de tráfego atualizados. Ferramentas específicas passaram a ter identidade própria dentro desses agregadores. Nomes como “Taskitos” (automação do Sala do Futuro), “Redação Eclipse” (geração de redações) e “Khanto” (conjunto de automações para o Khan Academy) circulam com marca e comunidade de suporte próprias. Também surgiu, ao longo de 2026, um modelo de monetização por assinatura: parte dessas ferramentas passou de gratuitas para um esquema “freemium”, com a versão paga liberada mediante ingresso em servidores de Discord pagos.
• DoritosScript: um repositório que agrega automações para várias plataformas em uma única biblioteca. É mencionado com frequência em discussões públicas como ponto único de referência para os scripts mais populares. Em julho de 2026 o serviço está na versão 3.0 e passou a oferecer também um catálogo de respostas para apostilas impressas (“apostilas-respostas”), além dos scripts de automação originais.
• Comunidades em YouTube e TikTok: vídeos tutoriais e demonstrações de uso aparecem em grande quantidade nessas plataformas, embora frequentemente sejam removidos por violação das diretrizes ou de copyright.

Contexto temporal e sazonalidade

Análises de tráfego e tendências de busca mostram que o interesse pelo termo “CMSP Hacks” segue de perto o calendário letivo paulista. Picos são observados no início de cada bimestre (fevereiro, abril, agosto, outubro), nas semanas que antecedem os fechamentos de notas e nas vésperas de provas bimestrais. A sazonalidade é tão regular que sites do segmento conseguem prever crescimento de tráfego com semanas de antecedência apenas observando o calendário escolar.

Outra característica observável é a alta taxa de engajamento por sessão. Em cmsphacks.xyz, por exemplo, o tempo médio de visita ficou em torno de 2 minutos e 50 segundos no período analisado, valor consideravelmente acima da média para sites do segmento “ferramentas e utilitários” no Brasil. Isso sugere uma audiência altamente direcionada que sabe exatamente o que procura quando chega ao site.

O que diz a cobertura pública

A reportagem da Folha de S.Paulo de setembro de 2025 representou o primeiro tratamento jornalístico de larga escala do fenômeno em um veículo de circulação nacional. A matéria reuniu três elementos centrais:

• A dimensão das comunidades distribuidoras (centenas de milhares de membros em Discord)
• O modus operandi básico dos scripts (preenchimento via APIs internas)
• Relatos de professores e gestores escolares paulistas sobre o impacto observado em sala de aula

Após a reportagem, o assunto teve repercussão em outros veículos regionais e em blogs especializados em educação. A Secretaria da Educação do Estado de São Paulo foi citada em respostas posteriores indicando que o fenômeno é monitorado e que medidas técnicas de detecção estão em desenvolvimento, embora detalhes operacionais não tenham sido tornados públicos.

Em setembro de 2025, após a repercussão do caso, o governo do Estado de São Paulo indicou publicamente que iria desconsiderar os registros de atividades obtidos de forma irregular por meio desses scripts, e a orientação oficial passou a tratar o uso de “scripts e sites para automatizar respostas” não como truque inocente, mas como conduta que pode configurar fraude. A cobertura da Revista Fórum, de 5 de setembro de 2025, é uma das fontes que registrou tanto a dimensão do grupo de Discord (mais de 200 mil usuários) quanto a reação oficial.

Aspectos técnicos do tipo de automação envolvida

Em termos puramente conceituais, os scripts em circulação operam de três formas básicas:

• Bookmarklets: pequenas funções em JavaScript salvas como favoritos do navegador. Quando o aluno clica no favorito enquanto está em uma página da plataforma, o código executa no contexto da página e interage com seus elementos. Não exige instalação de software.
• Extensões de navegador: variantes mais elaboradas que rodam continuamente em segundo plano. Geralmente exigem permissões mais amplas e podem persistir entre sessões.
• Ferramentas externas via web: serviços hospedados que recebem uma URL ou identificador da atividade e devolvem respostas ou textos gerados. O exemplo mais visível desse formato em 2026 é a geração de redações por modelos de linguagem.

Tecnicamente, scripts desse tipo aproveitam-se do fato de que muitas plataformas educacionais expõem ao próprio navegador do aluno as respostas corretas, marcadores de resposta esperada ou endpoints de validação. Quando o cliente (o navegador) recebe essa informação, basta capturá-la antes que a interface decida o que exibir. É uma classe conhecida de problema em segurança de aplicações web e tem sido alvo de discussões em comunidades de desenvolvimento educacional há vários anos.

FAQ

Nosso checklist de segurança: como avaliar o risco antes de rodar um script

Este é o mesmo raciocínio que aplicamos ao avaliar qualquer extensão ou script de origem não oficial, adaptado ao caso dos CMSP Hacks. Não é sobre o mérito de automatizar tarefas escolares: é sobre o que um código não auditado pode fazer com a sua sessão. Se a resposta a qualquer um dos pontos abaixo for “sim”, o risco técnico já supera qualquer conveniência.

Nossa opinião, em 2026: o risco real desse fenômeno raramente é a nota inflada. É a normalização, entre adolescentes, do hábito de colar código de estranhos no navegador sem questionar o que ele acessa. Essa é a porta de entrada que a indústria de malware mais explora hoje, e é exatamente por isso que cobrimos o assunto pelo ângulo de segurança, e não apenas pelo educacional. Para reduzir esse risco no dia a dia, reunimos dicas de cibersegurança para estudantes e um guia sobre riscos de segurança da inteligência artificial na educação.

Para concluir

“CMSP Hacks” é um fenômeno relativamente recente em sua expressão pública atual, mas insere-se em um padrão mais amplo de comunidades online de adolescentes que organizam soluções para sistemas de avaliação digital. A escala documentada pela reportagem da Folha de S.Paulo em setembro de 2025, combinada com os dados de tráfego dos principais polos públicos, indica que o tema deve permanecer relevante enquanto a estrutura técnica das plataformas integradas ao CMSP não passar por uma revisão substancial. Para jornalistas, pesquisadoras de educação, gestores escolares e formuladores de política pública, é um caso de estudo em andamento e de evolução acelerada.