Over 10 years we help companies reach their financial and branding goals. Engitech is a values-driven technology agency dedicated.

Gallery

Contacts

411 University St, Seattle, USA

+1 -800-456-478-23

Sem categoria

Pesquisadores encontram servidor desprotegido com 120 milhões de CPFs; bastava renomear um arquivo para resolver brecha.

Pesquisadores de segurança encontraram um servidor desprotegido com o CPF de 120 milhões de brasileiros, afetando 57% da população. A empresa InfoArmor descobriu a vulnerabilidade e entrou em contato com o domínio responsável, mas o problema demorou semanas para ser resolvido — o que envolvia apenas renomear um arquivo.

Em um relatório, a InfoArmor explica que encontrou o servidor mal configurado em março de 2018, enquanto fazia uma varredura de rotina por máquinas vulneráveis na internet. Lá estavam uma série de bancos de dados, um deles com 82 GB.

Foi difícil encontrar quem era o proprietário do servidor. Após várias tentativas frustradas, os pesquisadores decidiram entrar em contato com a empresa de hospedagem. Ela diz em e-mail que informou seus clientes sobre os problemas jurídicos de deixar essas informações expostas.

As bases SQL tinham nomes como dados_pessoais, dados_endereco, dados_telefone, dados_emprestimo e dados_militares. Não foi possível acessá-las; só a base cpf_temp estava exposta.

Servidor ficaria protegido ao renomear arquivo

No final de abril, o servidor foi enfim corrigido. O site antes era acessível por endereço IP, mas foi reconfigurado com o domínio alibabaconsultas.com que levava a uma tela de login e senha. O portal para “consulta de consignados online” está atualmente fora do ar.

A InfoArmor acredita que o Alibaba Consultas (sem relação com a chinesa Alibaba) estava envolvida de alguma forma com o servidor vulnerável, “provavelmente devido a usar hospedagem como serviço”. No entanto, a empresa de segurança ainda não sabe quem foi responsável pelo vazamento.

E como era possível evitar esse vazamento? Bastava colocar um arquivo chamado “index.html” na pasta, mesmo que ele estivesse vazio. Isso impediria que o diretório fosse listado na internet, e ninguém teria acesso aos bancos de dados. Segundo a InfoArmor, alguém renomeou o arquivo “index.html” para “index.html_bkp”, revelando todo o conteúdo para o mundo.

“Por padrão, um servidor web Apache retorna o conteúdo de um arquivo padrão chamado index.html quando ele está presente”, explica o Bleeping Computer. “Se um arquivo com esse nome não existir e a listagem de diretório estiver ativada, o servidor exibirá os arquivos contidos na pasta solicitada e permitirá o download.”

Especialista pede “investigação completa”

“É necessária uma investigação completa pelo governo brasileiro para determinar quem deve assumir a responsabilidade”, diz Ilia Kolochenko, CEO da empresa de segurança High-Tech Bridge, em comunicado.

“No entanto, eu não estaria tão certo de que os cibercriminosos conseguiram obter os dados do servidor exposto”, ele continua. “Prefiro pressupor que os criminosos cibernéticos têm esses (e provavelmente muitos outros dados governamentais do Brasil) há anos se tal vazamento evidente ocorreu em circunstâncias tão escandalosas.”

A lei de proteção de dados pessoais prevê multa equivalente a 2% do faturamento, limitada a R$ 50 milhões, em caso de vazamentos. Ela entra em vigor em 2020.

Damos valor à sua privacidade

Nós e os nossos parceiros armazenamos ou acedemos a informações dos dispositivos, tais como cookies, e processamos dados pessoais, tais como identificadores exclusivos e informações padrão enviadas pelos dispositivos, para as finalidades descritas abaixo. Poderá clicar para consentir o processamento por nossa parte e pela parte dos nossos parceiros para tais finalidades. Em alternativa, poderá clicar para recusar o consentimento, ou aceder a informações mais pormenorizadas e alterar as suas preferências antes de dar consentimento. As suas preferências serão aplicadas apenas a este website.

Cookies estritamente necessários

Estes cookies são necessários para que o website funcione e não podem ser desligados nos nossos sistemas. Normalmente, eles só são configurados em resposta a ações levadas a cabo por si e que correspondem a uma solicitação de serviços, tais como definir as suas preferências de privacidade, iniciar sessão ou preencher formulários. Pode configurar o seu navegador para bloquear ou alertá-lo(a) sobre esses cookies, mas algumas partes do website não funcionarão. Estes cookies não armazenam qualquer informação pessoal identificável.

Cookies de desempenho

Estes cookies permitem-nos contar visitas e fontes de tráfego, para que possamos medir e melhorar o desempenho do nosso website. Eles ajudam-nos a saber quais são as páginas mais e menos populares e a ver como os visitantes se movimentam pelo website. Todas as informações recolhidas por estes cookies são agregadas e, por conseguinte, anónimas. Se não permitir estes cookies, não saberemos quando visitou o nosso site.

Cookies de funcionalidade

Estes cookies permitem que o site forneça uma funcionalidade e personalização melhoradas. Podem ser estabelecidos por nós ou por fornecedores externos cujos serviços adicionámos às nossas páginas. Se não permitir estes cookies algumas destas funcionalidades, ou mesmo todas, podem não atuar corretamente.

Cookies de publicidade

Estes cookies podem ser estabelecidos através do nosso site pelos nossos parceiros de publicidade. Podem ser usados por essas empresas para construir um perfil sobre os seus interesses e mostrar-lhe anúncios relevantes em outros websites. Eles não armazenam diretamente informações pessoais, mas são baseados na identificação exclusiva do seu navegador e dispositivo de internet. Se não permitir estes cookies, terá menos publicidade direcionada.

Visite as nossas páginas de Políticas de privacidade e Termos e condições.

Importante: Este site faz uso de cookies que podem conter informações de rastreamento sobre os visitantes.
Criado por WP RGPD Pro