Um investigador de cibersegurança conhecido como Eaton descobriu vulnerabilidades críticas nas plataformas web da gigante farmacêutica Johnson & Johnson, comprometendo informações sensíveis de milhares de pessoas. Segundo os detalhes partilhados pela Cybernews, o problema residia na forma deficiente como a organização geria a autenticação dos utilizadores, confiando em demasia no lado do cliente e ignorando a verificação de credenciais no servidor.
O perigo de confiar apenas no frontend
O primeiro buraco de segurança detetado afetava a plataforma de recrutamento universitário da marca. Os estudantes recebem chaves de acesso para submeterem os seus currículos, enquanto os recrutadores entram através do sistema de autenticação única da Microsoft. O investigador percebeu que bastava manipular um pouco de código em JavaScript na biblioteca de autenticação para enganar a plataforma e entrar diretamente na interface restrita.
O servidor não estava a validar o token de acesso de forma correta. Em vez disso, o sistema dependia de uma chave de API fixa e totalmente exposta no código. Esta falha permitiu visualizar os processos de quase mil estudantes, incluindo notas deixadas pelos recrutadores e avaliações de entrevistas.
Auditorias internas de portas abertas
A situação tornava-se ainda mais delicada no sistema de gestão de auditorias da farmacêutica. Esta ferramenta centraliza a conformidade de cerca de vinte unidades de negócio, englobando marcas de enorme peso no mercado da saúde em Portugal e no mundo, como a Janssen e a Ethicon. Eaton notou que as interfaces de programação da aplicação devolviam dados sobre perto de catorze mil funcionários sem exigirem qualquer tipo de início de sessão autêntico.
Recorrendo à informação que se encontrava exposta, o especialista conseguiu identificar o administrador principal e assumir a sua identidade alterando o código do lado do navegador. Este acesso total entregou-lhe as chaves de relatórios e transcrições profundamente confidenciais, incluindo documentação originária da Rússia. Ironicamente, o próprio sistema destinado a gerir auditorias de segurança parece nunca ter passado por uma.
Seis meses de espera por uma correção
A resposta da empresa revelou uma morosidade preocupante. Embora a falha no portal de recrutamento tenha sido resolvida semanas após a denúncia privada em outubro de 2025, o sistema crítico de auditorias permaneceu vulnerável durante meio ano. O problema apenas conheceu um fim definitivo em abril de 2026, quando a pressão dos meios de comunicação social forçou a equipa responsável a agir.
Para os profissionais do setor e para os reguladores europeus, episódios como este demonstram que infraestruturas corporativas massivas podem falhar em princípios básicos de programação. A ausência de proteção adequada em informações tão sensíveis levanta questões inevitáveis sobre o cumprimento rigoroso das regras de privacidade, mostrando que o risco de uma fuga de informação de proporções incalculáveis esteve à mercê de conhecimentos técnicos relativamente simples.
Nenhum comentário
Seja o primeiro!