Exclusivo: 24 mil dados pessoais de usuários do Zoox Wi-Fi são expostos online

Duas bases de dados estão expostas na internet com informações pessoais de usuários do Zoox Wi-Fi, como revela o pesquisador de segurança Avishai Efrat com exclusividade ao Tecnoblog: é possível encontrar nome completo, idade, CPF, número de celular, entre outros. A empresa fornece serviços de hotspot para lojas, hotéis e aeroportos; ela garante que “não foi constatada nenhuma violação da segurança da sua plataforma”.

Efrat, especialista em cibersegurança na Wizcase, explica ao Tecnoblog que um dos bancos de dados contém 6 mil registros com nome completo, endereço de e-mail, idade, sexo e CPF; trata-se de um backup que parece ter sido feito em julho de 2019. O logotipo da Zoox está entre os arquivos.

Por sua vez, a outra base de dados possui 18 mil registros com nome (completo ou parcial), e-mail, idade, sexo e informações sobre a rede Wi-Fi (IPs internos e endereços MAC). Ela parece ser um backup realizado em 2017 e, neste caso, lista somente usuários do aeroporto internacional Tom Jobim (RIOgaleão), no Rio de Janeiro. O logotipo da Zoox também foi encontrado aqui.

Os dois conjuntos de dados estão em buckets mal configurados do Amazon S3, serviço de armazenamento na nuvem. Buckets são contêineres para objetos, isto é, para arquivos e seus metadados opcionais; “é possível controlar o acesso a cada bucket, decidindo quem pode criar, excluir e listar objetos nele”, explica a Amazon.

Um dos buckets permite ver a lista de arquivos e o conteúdo de cada um deles sem precisar de login. O outro bucket está com as permissões de listagem configuradas corretamente, ou seja, exige login para mostrar a lista de arquivos; no entanto, os arquivos em si podem ser acessados por usuários anônimos.

Efrat entrou em contato com a Zoox por e-mail em 15 e 19 de junho, mas não obteve resposta. Por isso, ele acionou a Amazon no dia 20; ela afirma ter notificado o cliente para possível mitigação do problema. O pesquisador também recorreu ao CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil).

Fonte: Tecnoblog