Enquanto digito algumas letras e números em meu navegador, me vejo olhando para a identidade de um estranho. Passaporte de uma jovem da Alemanha. Passaporte de um homem espanhol com óculos na cabeça. Frente e verso da carteira de motorista de outro homem, típica expressão boba.
Todos estes foram localizados desprotegidos em URLs públicos, sem senhas ou controles de acesso. Você poderia ter visto o passaporte de alguém se eu lhe enviasse um link.
“Temos que lidar com isso o mais rápido possível. As pessoas vão encontrar isso e revendê-lo. Será prejudicial”, disse-me Samy Azdoufar em maio.
Azdoufal é um pesquisador de segurança que descobriu que todos os aspiradores robôs DJI Romo, 1 milhão de babás eletrônicas e câmeras de segurança foram hackeados com uma facilidade embaraçosa usando o código de Claude. Desta vez, ele disse ter descoberto mais de 985 mil documentos de identidade com foto na Internet pública que um hacker indiferente poderia roubar.
Se você já visitou um clube de cannabis na Espanha, é provável que inclua seu documento de identidade com foto, que pode incluir seu número de telefone, endereço, seu tipo favorito de cannabis e quanto você consumiu por mês enquanto esteve lá, diz Azdoufal. Azdoufal disse que o banco de dados também inclui celebridades e recebe visitantes de todo o mundo, incluindo 30 mil dos Estados Unidos. “Eles têm pessoas famosas”, diz Azdufal. “As pessoas não querem que todos saibam que fumam maconha.”
Abaixo está uma visão geral da base de usuários e os nomes de alguns dos clubes que as ferramentas automatizadas do Azdufal conseguiram identificar.
Imagem: Samy Azdoufal
Não foi o clube que não conseguiu proteger estes documentos de identificação. Uma empresa irlandesa chamada Cannabis Club Systems (CCS) (oficialmente Nefos Solutions) desenvolve e fornece o software que estes clubes utilizam para vendas, contabilidade e admissões. Isso também inclui um sistema de autenticação onde os recepcionistas carregam sua identidade e selfie na nuvem da Nefos.
Anteriormente, você tinha que mostrar um documento de identidade com foto toda vez que quisesse entrar em um clube. No entanto, com um sistema de autenticação, uma recepcionista pode recuperar uma identificação armazenada e ver se o rosto corresponde. Há também um aplicativo opcional chamado PuffPal que permite aos clubes digitalizar códigos QR para uma entrada mais rápida.
Mas quando Azdoufal descompilou o aplicativo PuffPal, ele explica em seu relatórioele descobriu que Nefos não tinha nenhum nível significativo de segurança. Ele descobriu a chave privada da plataforma de pagamento Stripe armazenada em texto não criptografado no aplicativo. Ele descobriu que poderia recuperar o perfil de qualquer membro simplesmente alterando um número. Se esses perfis incluíam números de telefone, endereços residenciais, passaportes e preferências sobre maconha, ele agora também tinha acesso a eles.
Eles descobriram que esses passaportes, carteiras de motorista e documentos de identidade com foto estavam armazenados em um URL público simples: https://ccsnubev2.com/v8/images/_{club}/ID/{user_id}-front.jpg
De acordo com Azdoufar, esses clubes carregavam 5.000 novos documentos de identificação com foto todos os dias usando esses URLs inseguros.
Ele também descobriu que o portal administrativo era acessível pela internet pública e que o clube de cannabis tinha um nível modesto de segurança em suas contas, usando senhas que teoricamente poderiam ser quebradas em minutos usando uma GPU moderna. Mensagens privadas de bate-papo entre clubes e membros por meio do aplicativo PuffPal também eram vulneráveis.
Boas notícias. Cerca de um mês depois de entrarmos em contato com a Nefos, parece que a empresa está finalmente tomando medidas significativas. A empresa anunciou que desligará todo o sistema PuffPal e a API vulnerável até que seja corrigido. No último teste de Azdoufal, realizado em 10 de junho, as imagens do passaporte e os dados pessoais parecem estar seguros. A Nefos também notificou as autoridades locais e afirma que elas assumirão a responsabilidade de resolver o problema, pagar quaisquer multas e informar os usuários sobre o que aconteceu.
O cofundador da Nefos, Andreas Nilsen, disse em entrevista por telefone. A beira Ele entrou em contato com a Autoridade de Proteção de Dados da Irlanda (DPC) sobre a violação de dados. O porta-voz da DPC, Evan O’Leary, confirmou isso por e-mail. “Temos que contar a todos que possam ter sido expostos”, disse-me Nilsen, acrescentando que espera que a DPC possa mostrar à sua empresa como fazê-lo corretamente. Nilsen afirma que actualmente não há provas de que alguém além de Azdufal tenha acedido aos dados.
No entanto, demorou muito para que Nefos levasse esta ameaça a sério. A empresa demorou cinco dias a responder-nos, muito depois de Azdufal nos ter contactado e nos ter dito que estávamos ameaçados. Então, em vez de arriscar o seu negócio, Nefos começou preenchendo os buracos com papel.
Decidi escrever esta história no início de junho, depois de Azdufal me ter dito que Nefos tinha finalmente bloqueado a imagem do passaporte. Mas no dia 4 de junho, surpreendi Azdoufar ao mostrar-lhe que o seu passaporte estava novamente online, sem qualquer proteção.
Isso porque a Nefos ainda não havia impedido os clubes de cannabis de usar o aplicativo PuffPal, e os clubes estavam reclamando que as imagens bloqueadas não estavam aparecendo como antes, então a Nefos simplesmente desbloqueou novamente as imagens. Embora Nilsen alegue que as imagens foram bloqueadas “70 por cento” desde que Azdoufal e eu o contactámos, está claro que a Nefos tomou a decisão de dar prioridade aos clientes e não às ameaças.
Em 9 de junho Azdufal afirmou que embora Nefos tivesse bloqueado imagens de passaporte e documentos de identidade com foto com tokens todo o resto Tive acesso fácil a tudo em meu perfil de usuário, incluindo número de passaporte, número de telefone, endereço de e-mail e endereço residencial.
Tudo o que o hacker precisou fazer foi digitar “curl -X POST https://ccsnubev2.com/v8/api/userProfile.php -d “user_id=(NUMBER)&(CLUB NAME)=test& language=en”” na linha de comando, e o servidor agora estava livre para fornecer toneladas de informações pessoais. Depois de informar Nefos sobre isso, esse buraco também foi fechado.
Mas por que as empresas são tão descuidadas? “Não queremos colocar a culpa nos outros, porque, no final das contas, a culpa é nossa”, diz Nilsen. mas ele aponta o dedo em 9 sériesuma empresa de terceirização que ele afirma ser responsável pelo desenvolvimento do aplicativo PuffPal e pela criação de todas as APIs vulneráveis usadas para extrair dados inseguros do banco de dados de usuários da Nefos. (9Series não havia respondido no momento da publicação.)
Com o PuffPal atualmente fora do ar, Nefos enviou um e-mail para cada clube informando que os membros não poderão usar o código QR para entrar. No entanto, é possível recuperar um ID dos servidores da Nefos após digitalizar o cartão RFID de um membro ou inserir o seu número de telefone.
Nilsen insiste que sua empresa não tem intenção de simplesmente reiniciar o Puff Pals sem segurança se o clube solicitar. “Vamos dizer a eles que não podem fazer isso”, diz ele. “Após esse desastre, verificamos isso por pesquisadores de segurança independentes e podemos garantir que é 100% seguro.” Ele disse que a Nefos se separou do 9Series e espera lançar um novo aplicativo nos próximos meses.
Nilsen diz que sabe disso. Com base na legislação da UEsua empresa teria legalmente que divulgar a violação dentro de 72 horas ou pagar uma multa pesada, mas a empresa não fez isso.. “Tenho certeza que cobrarei qualquer penalidade”, disse Nilsen.
No mês passado, foi lançado um site chamado UK Visa Portal. Pelo menos 100.000 passaportes também foram expostos. Para quem consegue adivinhar o URL. Esperemos que este seja um alerta.
