Hacker-ético denuncia grave vulnerabilidade no webmail UOL - TecMundo
Imagem: UOL Mail/Reprodução
O hacker-ético Gabriel Pato divulgou uma grave brecha de segurança do webmail UOL — e possivelmente UOL Host. Após 1 ano e 7 meses de negligência, Gabriel foi a público para descrever como os usuários do e-mail UOL podem ser ter suas contas roubadas ao abrir um e-mail malicioso.
A vulnerabilidade expõe toda a base de usuários do e-mail UOL e produtos derivados dele, como o UOL Host, BOL e Zip. Basta que o e-mail malicioso seja aberto dentro do webmail UOL para que o usuário se torne mais uma vítima do hacker e tenha todos os seus e-mails redirecionados para uma conta de domínio do atacante.
Essa brecha ocorre por uma vulnerabilidade técnica de cross-site scripting (XSS) — a mesma utilizada por Arthur Carrenho para rodar Minecraft no site do Supremo Tribunal Federal. Resumidamente, o cliente do webmail não oferece proteção contra a inserção de scripts dentro de e-mails e isso acarreta sérias consequências.
Diante da gravidade do problema, Gabriel optou por denunciar a falha ao Grupo UOL para que corrigissem o quanto antes — mesmo sabendo que não receberia qualquer recompensa. Recentemente, ele tentou explorar a falha novamente e viu que não tinha sido corrigida.
O TecMundo entrou em contato com o UOL para buscar informações sobre possíveis vítimas dessas vulnerabilidades, mas declararam que a falha nunca foi explorada. "O UOL informa que a vulnerabilidade reportada não gerou nenhum incidente de segurança nos seus serviços de e-mail. A base dos usuários do UOL e os e-mails de seus clientes não foram acessados por ninguém.", alegaram por e-mail.
Em seguida, o UOL afirma que segue "rígidos protocolos de segurança" e a equipe de segurança está atenta a denúncias de eventuais fragilidades em seus sistemas.