A empresa irlandesa Nefos Solutions, responsável pelo software Cannabis Club Systems, deixou expostos na internet os dados pessoais e documentos de identificação de quase um milhão de utilizadores de clubes de canábis, principalmente em Espanha. Conforme avançou o The Verge, esta grave brecha de segurança afetou cidadãos de todo o mundo, incluindo celebridades e cerca de 30 mil visitantes dos Estados Unidos.
O problema foi detetado pelo investigador de segurança Sammy Azdoufal, que descobriu mais de 985 viradas fotografias de passaportes, cartas de condução e outros documentos de identificação guardados em URLs públicos, acessíveis sem qualquer tipo de autenticação ou palavra-passe. Entre as informações expostas encontravam-se também números de telemóvel, moradas e até o histórico detalhado do consumo mensal dos membros de vários clubes.
Falha grave na aplicação PuffPal
A origem da vulnerabilidade estava na aplicação móvel PuffPal, desenvolvida por uma empresa de subcontratação contratada pela Nefos Solutions. Ao descompilar o código do programa, o investigador encontrou chaves secretas da plataforma de pagamentos Stripe armazenadas em texto limpo e descobriu que era possível aceder ao perfil de qualquer utilizador alterando apenas um dígito no identificador da ligação.
Os clubes associados enviavam diariamente cerca de 5 mil novos documentos para os servidores na nuvem, que ficavam imediatamente disponíveis sob endereços desprotegidos. Para além disso, o portal de administração do sistema estava aberto à internet e utilizava credenciais extremamente simples, vulneráveis a ataques de força bruta em poucos minutos através de processadores gráficos modernos.
Intervenção das autoridades e encerramento
A Nefos Solutions demorou vários dias a reagir aos alertas iniciais, chegando a bloquear os acessos e a reabri-los logo de seguida devido a queixas dos estabelecimentos comerciais. No entanto, as falhas de segurança foram mitigadas após a intervenção dos jornalistas, resultando no encerramento completo do ecossistema da aplicação PuffPal e das suas interfaces de programação até que a segurança seja totalmente auditada de forma independente.
O cofundador da empresa, Andreas Nilsen, confirmou que está em contacto direto com a Comissão de Proteção de Dados da Irlanda para coordenar a notificação de todos os utilizadores potencialmente expostos. O responsável admitiu ainda que a organização deverá enfrentar pesadas coimas por não ter reportado o incidente no prazo legal de 72 horas exigido pela legislação europeia, embora não existam provas de que os dados tenham sido acedidos por cibercriminosos.
Nenhum comentário
Seja o primeiro!