Depois de descobrir uma falha que expunha dados pessoais de usuários da TelexFree, Manoel Netto, do Tecnocracia, decidiu investigar a existência do problema em outras redes “marketing multinível”. E não é que ele descobriu que a rede BBOM tem uma vulnerabilidade parecida?

Tal como a TelexFree, a BBOM utiliza um sistema de geração de boletos bancários do Banco Brasil, só que com um pouco mais de segurança: o mecanismo não gera URLs sequenciais, tampouco deixa claro a identificação do gerador de boletos. Entretanto, não houve zelo no sentido de evitar que links de boletos contendo informações pessoais de adeptos da BBOM fossem parar no Google e, consequentemente, abrissem uma brecha para exploração de dados de outros filiados.

Manoel Netto descobriu que o indivíduo que fez o script gerou um hash MD5 a partir da sequência de identificação do boleto e usou esta informação no endereço do documento. Como conseguiu encontrar alguns boletos indexados no Google, Netto utilizou a identificação de um deles para saber qual era o boleto seguinte (normalmente, o ID é sequencial), gerou um MD5 a partir desta informação (o MD5 de um mesmo dado resulta sempre no mesmo hash) e colocou a sequência obtida na URL. Pronto, lá estava o boleto seguinte, com nome, endereço e valor pago pelo cidadão à BBOM.

Boleto BBOM (Fonte: Tecnocracia)

Assim como no caso da TelexFree, alguns cuidados básicos implementados desde o início poderiam evitar a exposição das informações dos usuários da BBOM. A sorte é que poucos boletos foram indexados pelo Google.

O azar é que alguém com conhecimentos razoáveis pode, a partir destes poucos boletos, gerar um script capaz de explorar a vulnerabilidade e obter dados particulares de várias outras pessoas. Agora resta esperar que ao menos a brecha seja corrigida em tempo hábil.

Entramos em contato com a empresa para saber a posição dela em relação à descoberta do Tecnocracia; assim  que tivermos resposta, damos o update.

Atualização em 02/08/2013, às 12h40: a Embrasystem (grupo que controla a BBOM) nos enviou o seguinte posicionamento por meio de sua assessoria de imprensa:

A Embrasystem, sendo uma empresa de tecnologia, mantém atualizados os seus sistemas para evitar eventuais falhas. As informações vazadas via internet foram detectadas por nossos programadores e resolvidas prontamente, em 31/07.

Comentários

Envie uma pergunta

Os mais notáveis

Comentários com a maior pontuação

Yuri Costa
Piramideiros são que nem crentelhos fanáticos kkkkkk
Paulo José Oliveira Rosa
Silvio Ney esse povo ignorante não entende as coisas é o perfil de trouxa que entra na bbom que tem medo da informação mesmo, o cara viaja completamente achando que a propagação do conhecimento é crime ahaha, crime é essa empresa isso sim
Rones Carvalho
Investiu em furada porque quis, seguira a bronca. kkkkkkk
Rones Carvalho
@Elvis @Victor Não tem que ser fácil, tem que valer a pena
Gabriel Ayres
E essa chuva de spam nos comentários? Eita.
Gabriel Ayres
Fácil assim? Porra.
Guilherme Kammsetzer
https://fbcdn-sphotos-c-a.akamaihd.net/hphotos-ak-ash4/1011522_10201030186013469_123648764_n.jpg AHAHAHAHAHAHAHAHAHAHAHAHAHAHHAHAHA OLHA ISSO
Wanderlei Felipe Rodrigues
Sempre tem um fdp querendo se promover, Silvio por que não se preocupa com sua vida, a sua opinião de nada serve nem pra voce nem pra ninguém, vai procurar algo útil pra fazer, invejoso quebrado.
Luçara Velleda
Só pergunto porque a justiça não nos dá informações sobre os recursos que a sociedade brasileira tem direito sobre o NIÓBIO????? E nem estou aí para o BBOM. Informem-se, estamos sendo roubados profundamente e em algo BEM grande. Povo brasileiro procurem na internet NIÓBIO.
Nilberto Melo
[email protected] kkkkkkkkkkkkkkkkkkkkkkk
Nilberto Melo
os piramideiros piram
Savia Almeida
oiiiiiiii migo saudades voltei boa noite pra vc bjssssssssss
Isaac Correria
Participe ---> www.dumba.com.br/dumbahia Boa noite, dia 20 de Agosto será lançado o 1° Clube de Consumo Inteligente. O apresentador Raul Gil tirou o chapéu...venha também para o DUMBA, cadastre-se grátis e monte a sua rede. A equipe DUMBAHIA já tem 172 cadastrados. Cadastre-se hoje mesmo e saiba como divulgar na internet. Potencial de ganhos de R$ 300 por cadastro.
Deolino Zonta
qual o caminho
Deolino Zonta
ok temoso caminho do melhor venhaver o melhor e sem riscos wcmm77 nos temos todas informações [email protected] 49 88131248
Exibir mais comentários