CPFs de 120 milhões de brasileiros ficaram expostos na internet por meses

Pesquisadores de segurança encontraram um servidor desprotegido com o CPF de 120 milhões de brasileiros, afetando 57% da população. A empresa InfoArmor descobriu a vulnerabilidade e entrou em contato com o domínio responsável, mas o problema demorou semanas para ser resolvido — o que envolvia apenas renomear um arquivo.

Em um relatório, a InfoArmor explica que encontrou o servidor mal configurado em março de 2018, enquanto fazia uma varredura de rotina por máquinas vulneráveis na internet. Lá estavam uma série de bancos de dados, um deles com 82 GB.

Foi difícil encontrar quem era o proprietário do servidor. Após várias tentativas frustradas, os pesquisadores decidiram entrar em contato com a empresa de hospedagem. Ela diz em e-mail que informou seus clientes sobre os problemas jurídicos de deixar essas informações expostas.

No entanto, os bancos de dados continuaram acessíveis por várias semanas depois disso. “A equipe observou o diretório aberto e viu os arquivos ficarem maiores e menores, como se os usuários estivessem simplesmente trabalhando com eles de forma exposta”, diz o relatório.

As bases SQL tinham nomes como dados_pessoais, dados_endereco, dados_telefone, dados_emprestimo e dados_militares. Não foi possível acessá-las; só a base cpf_temp estava exposta.

No final de abril, o servidor foi enfim corrigido. O site antes era acessível por endereço IP, mas foi reconfigurado com o domínio alibabaconsultas.com que levava a uma tela de login e senha. O portal para “consulta de consignados online” está atualmente fora do ar.

Fonte: Tecnoblog