A segurança nas plataformas de comunicação tornou-se um pilar fundamental da vida digital, mas nem sempre as infraestruturas acompanham as promessas de privacidade. Recentemente, foi descoberta uma base de dados exposta que pertencerá à plataforma Tokee, uma aplicação de mensagens com uma presença considerável nas lojas oficiais da Google e da Apple. A falha terá afetado a quase totalidade dos utilizadores do serviço, revelando informações sensíveis que podem comprometer a segurança individual.
De acordo com uma investigação avançada pelo Cybernews, o incidente expôs aproximadamente 1,2 milhões de utilizadores. A Tokee, desenvolvida pela empresa Deucetek sediada em Atlanta, conta com mais de um milhão de transferências apenas na Google Play Store. Embora as mensagens de chat pareçam ter resistido à exposição graças à encriptação baseada em OpenSSL, o volume de metadados e informações pessoais disponíveis sem proteção representa um risco elevado.
Os detalhes da exposição de informações
Os dados estavam armazenados numa base de dados MongoDB que, por configuração incorreta, ficou acessível sem necessidade de autenticação. Os investigadores associaram a infraestrutura à Tokee através de vários indicadores, como URLs de armazenamento no Firebase que referenciavam identificadores do projeto e esquemas de dados que coincidiam com as funcionalidades da aplicação.
Entre as informações que ficaram vulneráveis encontram-se os nomes de exibição dos utilizadores, números de telemóvel, avatares de perfil e tokens de dispositivos utilizados para notificações push. Além disso, foram expostos registos de atividade, como indicadores de "visto pela última vez" e carimbos temporais de criação ou atualização de contas. Mesmo com o conteúdo das conversas protegido, estes metadados permitem traçar perfis detalhados sobre quem comunica, quando o faz e a partir de onde.
Riscos para a privacidade e cibersegurança
A equipa responsável pela descoberta alertou que este tipo de fuga de informação é um prato cheio para criminosos. Através dos dados expostos, é possível realizar campanhas de phishing direcionadas ou ataques de spam mais eficazes, utilizando os tokens de notificação para enganar as vítimas. Para uma plataforma de menor dimensão como a Tokee, o impacto na reputação pode ser fatal, afetando a confiança necessária para a viabilidade do serviço a longo prazo.
Após o contacto com a empresa e as autoridades competentes, a base de dados foi retirada do ar a 19 de janeiro de 2026. Este caso serve de lembrete que a encriptação de mensagens, embora essencial, é insuficiente se a infraestrutura que gere os dados dos utilizadores não for devidamente protegida. A exploração de falhas em aplicações públicas continua a ser uma das principais formas de os atacantes ganharem acesso a redes corporativas e informações privadas, reforçando a necessidade de auditorias constantes à segurança dos sistemas.
Nenhum comentário
Seja o primeiro!