CPF de 120 milhões de brasileiros vazam na Internet - TI INSIDE Online | TI INSIDE Online
Postado em: 13/12/2018, às 21:02	por Redação
A ESET comenta o caso descoberto em março de 2018 pela empresa InfoArmor. Seus pesquisadores descobriram um servidor web Apache mal configurado, que continha arquivos com o número de CPF de 120 milhões de brasileiros, que estavam expostos e poderiam ser acessados por qualquer pessoa.
O "Cadastro de Pessoas Físicas" ou CPF é necessário, entre outras coisas, para realizar transações financeiras, como abrir uma conta bancária, comprar um imóvel, abrir um negócio, pagar impostos, etc. Nesse sentido, cada número de CPF exposto está associado a um histórico bancário e fiscal. Considerando isso, o volume de informações sensíveis expostas por esse erro representa aproximadamente 57% da população do Brasil.
Depois de analisar mais de perto o servidor mal configurado, os pesquisadores descobriram que alguém havia modificado o nome de um arquivo de "index.html" para "index.html_bkp". Essa mudança de nome é uma das razões pelas quais as informações foram expostas.
Como explicam os especialistas, qualquer pessoa que soubesse o nome do arquivo e o encontrasse poderia ter acesso livre a todas as pastas e arquivos. Esses arquivos, que variam de 27 megabytes a 82 gigabytes, continham bancos de dados com informações relacionadas ao CPF.
O pesquisador de segurança da ESET, Daniel Cunha Barbosa, destaca que caso um cibercriminoso tenha acesso ao número de CPF "é possível gerar fraudes como cadastros válidos no nome de uma pessoa e, dependendo do nível de informações adicionais que o criminoso possua, fazer compras e até mesmo contratar empréstimos", ressaltou o especialista. A ESET recomenda monitorar de perto o documento para evitar qualquer transtorno no futuro.
Tags: CPF, Daniel Cunha Barbosa, erro de segurança, ESET, falha, InforArmor, vulnerabilidade
Só faltou dizer o nome do servidor e porque ele tinha esses dados…
Aluno da Silva disse:
13 de dezembro de 2018 às 22:34
O modelo de cadastro nos sites de e-commerce e ou pesquisas no Brasil é um absurdo.
Somos obrigados a fornecer este dado esmo antes de fechar uma compra. Só isso já estimula a prática cibercriminosa.
Alan Koerbel disse:
14 de dezembro de 2018 às 07:55
OK, pode ser verdade. Mas dar uma notícia dessas pela metade sem falar quem era o proprietário dos dados, é no mínimo para desconfiar. Desta forma é fácil criar um case de sucesso, dizendo que minha empresa fez uma descoberta, mas não ter o outro lado para comprovar que é verdade. Já que não sabe ou não quer ou não pode divulgar o proprietário, também não deveria noticiar pois não ajudou ninguém em absolutamente nada!