Dados de 32 milhões de assinantes da Sky são expostos na internet

As informações pessoais de 32 milhões de clientes da Sky foram expostas na internet em um banco de dados que poderia ser acessado por qualquer pessoa. Na base, estavam presentes dados como nomes completos, e-mails, endereços, data de nascimento, telefones e informações sobre as assinaturas, com planos contratados e número de dispositivos utilizados. Senhas também estavam em meio ao volume, mas apareciam de forma criptografada.

Ao todo, eram 429,1 GB de dados de API e 28,7 GB informações de logs disponíveis publicamente. A brecha foi descoberta pelo pesquisador de segurança Fábio Castro, que disse ter encontrado o servidor aberto no Shodan, uma ferramenta de buscas voltada para a localização de dispositivos conectados à internet e que normalmente é a responsável pela localização de falhas dessa categoria. Segundo o especialista, o banco de dados ficou aberto por pelo menos uma semana após ser localizada, mas estava indexada na plataforma desde meados de outubro.

O caso é semelhante ao que aconteceu recentemente com a FIESP, que expôs os dados de 180 milhões de brasileiros a partir do ElasticSearch, um motor aberto de buscas em grandes volumes de informações. Em entrevista ao site Gizmodo, Castro disse ter se inspirado no vazamento e iniciado uma pesquisa sobre botnets e malwares disponíveis em redes desse tipo. Foi a partir disso que ele encontrou, também no sistema de pesquisas, as informações dos clientes da Sky.

Segundo o especialista, o volume de dados estava disponível em servidores da Amazon desprotegidos e mal configurados. Castro diz que a utilização de sistemas abertos ligados ao ElasticSearch é comum, com administradores normalmente não exigindo nem mesmo logins e senhas para realização de buscas e acesso.

O pesquisador disse ter informado a Sky sobre a falha e, no dia 28 de novembro, também publicou sobre ela em sua conta no Twitter. A companhia, porém, não se pronunciou sobre o assunto nem respondeu ao próprio Castro, mas na segunda-feira (3) bloqueou o acesso ao servidor, que agora exige uma senha para visualização de suas informações.

A exposição das informações pode levar a tentativas de golpes contra clientes da Sky. Por mais que dados sensíveis não tenham vazado, como informações financeiras ou senhas de acesso, criminosos ainda assim podem se aproveitar do volume encontrado para tentar fraudar as vítimas a partir de e-mails enviados em nome da operadora e outras táticas conhecidas.

Enquanto a empresa não se pronuncia sobre o tema, o ideal é que os assinantes da empresa fiquem vigilantes para possíveis comunicações que aconteçam por e-mail ou telefone, principalmente se elas solicitarem dados de cartão de crédito ou outros meios de pagamento. Caso receba algum tipo de contato da Sky, opte pela desconfiança e procure os atendimentos da companhia para se certificar de que as solicitações efetivamente procedem.

Fonte: Fábio Castro (Twitter), Gizmodo