Dados sigilosos de 10 mil brasileiros vazam de empresa financeira

Volume de 574 GB de dados inclui fotos de documentos e gravações de negociações da empresa Prisma Promotora

há 3 anos e 1 mês • Atualizado há 2 anos e 4 meses

Cadeado sobre notebook (imagem ilustrativa por: TheDigitalWay/Pixabay)

Mais um vazamento envolvendo informações de brasileiros foi descoberto recentemente. A companhia de segurança digital vpnMentor relata em seu site que registros de mais de 10 mil pessoas, incluindo fotos de documentos como RG, foram expostos na internet. A base de dados tem ligação com uma empresa de serviços financeiros chamada Prisma Promotora.

O problema não parece ter sido causado por um descuido da Prisma, porém. A vpnMentor afirma ter encontrado, no final de 2020, um volume com 574 GB de dados armazenado sem a devida proteção na Amazon Web Services (AWS) que teria relação com um aplicativo.

Uma análise do app evidenciou que os dados são controlados por uma empresa de ERP (gestão empresarial) cujo nome não foi revelado. Tudo indica que a Prisma Promotora é cliente dessa plataforma de ERP que, por sua vez, armazena dados do serviço na AWS.

A quantidade de dados expostos impressiona: mais de 717 mil arquivos. A maior parte deles, 608 mil arquivos, corresponde a fotos de cartões de crédito ou débito, carteiras de motorista (CNH), RGs e comprovantes de situação cadastral na Receita Federal, por exemplo.

Foto de CNH vazada (imagem: divulgação/vpnMentor)

Mais de 2 mil planilhas do Excel também foram expostas com diversos tipos de informações, incluindo nomes completos, telefones, endereços, dados de veículos, números de contas bancárias, entre outros. Também há planilhas com dados sobre colaboradores da Prisma.

Cerca de 105 mil arquivos de áudio e vídeo fazem parte do volume. Boa parte desse total consiste em gravações de negociações de empréstimos.

Como se não bastasse, a vpnMentor também encontrou um backup de um banco de dados SQL com mais de 500 mil arquivos, novamente, com uma grande diversidade de informações pessoais disponíveis ali.

Para piorar, a empresa afirma ter encontrado vários aplicativos em APK (arquivo de instalação para Android) que, depois de instalados, davam acesso à pagina de login do sistema de ERP. Com o acesso, os analistas da vpnMentor puderam visualizar o banco de dados SQL, bem como seu conteúdo.

Foto de cartão de débito vazado (imagem: divulgação/vpnMentor)

Como o vazamento foi descoberto

De acordo com a vpnMentor, os 574 GB de dados em questão foram encontrados por meio de um projeto de mapeamento da web promovido pela empresa que visa identificar base de dados desprotegidas.

Usando ferramentas específicas, os analistas fazem uma varredura na internet e depois checam as bases aparentemente vulneráveis para verificar se há vazamento de dados.

Possíveis consequências

Não é preciso ser especialista em segurança para saber da gravidade desse vazamento. Com tanta variedade de dados e até cópias digitais de documentos, criminosos que tiverem acesso aos arquivos podem usar as informações para obter financiamentos fraudulentos ou contatar as vítimas para aplicar golpes, só para dar alguns exemplos.

A vpnMentor também alerta para a possibilidade de os dados de login comprometerem o próprio sistema de ERP usado pela Prisma Promotora ou de os dados do vazamento serem usados em ações criminosas contra a empresa.

Felizmente, não há, até o momento, registro de que os dados tenham sido usados ou acessados por criminosos. De todo modo, a base de dados já não está mais vulnerável.

Inicialmente, a vpnMentor contatou a empresa que, aparentemente, é responsável pela conta na AWS. Como não houve retorno, a Amazon foi alertada — frequentemente, a companhia notifica clientes sobre violações de base de dados ou contas com configuração incorreta. A Prisma Promotora também foi notificada pela vpnMentor.

Deu certo. Embora não tenha ficado claro qual parte tomou providências, a vpnMentor relata que, no dia 14 de fevereiro, constatou que os dados já estavam protegidos.

O Tecnoblog tentou contato com a Prisma Promotora, inicialmente por telefone, mas não obtivemos sucesso. Um e-mail foi enviado à empresa na sequência. Este post será atualizado se tivermos retorno.