Vivo confirma que falha expôs dados de clientes no portal Meu Vivo

O portal Meu Vivo, que permite acessar informações sobre planos de telefone, TV e internet, tinha uma falha de segurança que expôs informações pessoais dos clientes, incluindo nome completo, endereço, data de nascimento, RG, CPF, e-mail e número de celular. Há relatos de que isso afetou 24 milhões de pessoas, mas a operadora diz que o número real é “consideravelmente menor”.

“A Vivo informa que, na noite de ontem, em pouco menos de três horas, a empresa identificou e neutralizou uma vulnerabilidade no acesso ao portal de serviços Meu Vivo, com o objetivo de garantir privacidade e a segurança das informações de seus clientes”, explicou a empresa em comunicado ao Tecnoblog.

Pesquisadores de segurança do grupo WhiteHat Brasil dizem ao Olhar Digital que conseguiram capturar dados de clientes através do portal Meu Vivo. Segundo eles, a falha estava presente na página web há cerca de duas semanas. Dessa forma, foi possível obter:

Os pesquisadores explicam ao UOL que a falha estava no token de acesso ao Meu Vivo. Funcionava assim: todo cliente é cadastrado com um número único de identificação, que independe do seu CPF ou RG. Após inserir seu nome de usuário e senha, o sistema retornava uma URL com esse número de identificação e um token de acesso — isto é, uma sequência de caracteres que serve como uma chave para liberar o acesso.

O problema é que esse mesmo token servia para acessar o perfil de qualquer cliente; era só usar a URL com outro número de identificação. Os pesquisadores testaram números sequenciais entre 1 mil e 25 milhões, e a técnica funcionou “quase que ininterruptamente”.

Daí, era possível fazer a raspagem de dados: isso consiste em coletar informações presentes em uma página da web, ou trocadas entre o servidor do site e seu computador. É algo relativamente simples de se fazer em Python ou JavaScript, por exemplo. O resultado é salvo em um formato estruturado, como uma planilha ou um arquivo de texto (JSON).

Fonte: Tecnoblog