Nubank expôs nome e CPF de alguns clientes no Google

O Nubank permitia que Google, Bing e outros motores de busca fizessem a indexação de links que contêm nome completo, CPF e número da conta. Após o aviso do pesquisador de segurança Heitor Gouvêa, a fintech corrigiu a falha. Um problema semelhante expôs números de celular do WhatsApp no mês passado.

Os links indexados pelo Google faziam parte da função Cobrar: a conta digital do Nubank (antes chamada NuConta) permite enviar um QR Code que leva a uma página com seus dados bancários e o valor a ser transferido.

Não há problema em compartilhar essas informações para alguém que você conheça. O problema é que esses links estavam aparecendo em buscas do Google sem que os clientes soubessem.

O Google vasculha a web aberta para indexar conteúdo e exibi-lo em resultados de busca. Algumas páginas contêm dados sensíveis e não podem ficar expostas ao público; no entanto, se o site não bloquear a indexação, ele vai aparecer em serviços de pesquisa, incluindo Bing e DuckDuckGo.

Usando um termo específico de busca no Google, Heitor conseguiu encontrar 305 links com CPFs e informações de contas do Nubank:

Então, ele resolveu criar scripts na linguagem de programação Perl para reunir os dados presentes nos links indexados pelo Bing. Um dos scrapers coletava as URLs; o outro obtinha as informações presentes em cada URL.

Fonte: Tecnoblog