Caos na segurança online: o que a enxurrada de vazamentos e o Tea App nos dizem sobre cibersegurança

Todos os dias vemos uma quantidade enorme de casos de ransomware (sequestro de dados) e de vazamentos de dados por razões variadas, mas de uns tempos para cá um padrão tem se mostrado claro em vários desses casos: falhas graves de questões básicas de cibersegurança, segurança da informação e de código.

Deadlines apertados, falta de planejamento e até de conhecimento sobre Web App Sec, ou segurança de aplicativos, faz com que códigos e aplicações cheguem ao mercado com problemas básicos de segurança, com vulnerabilidades, versões inseguras, código não revisado ou não criptografado e senhas extremamente fracas.

Podemos sempre somar a isso questões de engenharia social, cada vez mais sofisticada, que é muito beneficiada por falta de arquitetura de segurança.

Outros casos são, infelizmente, apenas falta de ética ou transparência, como foi visto no caso do Tea App. Para quem não conhece, esse é um aplicativo que se propôs a ser um lugar seguro para mulheres falarem sobre relacionamentos de forma alertar umas as outras sobre pessoas que poderiam ser potencialmente complicadas de se relacionar, entre outras coisas, e essa mesma empresa sofreu um vazamento massivo de informações - sim, imagine um app ter tantas informações sobre pessoas potencialmente perigosas até e ter seus dados vazados.

Um dos pontos do app era o que eles deletavam os dados, principalmente a foto e IDs, que foram os dados que foram vazados! Então além da segurança de código e de armazenamento, claramente houve falta de transparência deles sobre o que estavam de fato guardando.

O app também alegava que uma verdadeira OSINT (Open source intelligence - Inteligência de Fontes Abertas) era feita sobre homens de forma a permitir que a mulher pudesse saber o máximo de informações, inclusive sobre antecedentes criminais, para poder estar mais segura se ele era uma boa pessoa para se relacionar.

Agora, pensando na quantidade de informações sensíveis alocadas de forma insegura e não criptografada em um aplicativo novo e que, claramente, se propôs a mais do que poderia conseguir entregar e com um conteúdo que incitava a curiosidade alheia, era óbvio que ele seria alvo de escrutínio e, pior, de tentativas de invasão. A falta de cuidados com a segurança vai sair caro. De acordo com a NBC News, dez mulheres já entraram com processos sobre o vazamentos das fotos do Tea App o que pode resultar em prejuízos na casa de milhões de dólares, dadas as 72.000 mil imagens que acabaram vazando.

Por essa e outras razões, aplicativos da moda devem ser sempre questionados sobre suas práticas de código e de segurança da informação e early adopters, pessoas que gostam de adotar o uso de alguma nova tecnologia assim que ela é divulgada, são os que mais sofrem com casos como o da Tea App. Recomendo o vídeo do Lucas Montano sobre o assunto (ver na lista de fontes).

Mas não é só de coisas novas que é feito o mundo de vazamento de dados, recentemente, uma AI de contratação expôs milhões de dados de candidatos a vagas de emprego do McDonalds devido a uma senha simples: 123456!!!

Quando divulgaram as informações pareceu piada, mas a coisa foi muito séria. De acordo com a revista Wired, uma falha grave e básica de segurança não respeitada causou este vazamento absurdo de uma empresa gigantesca.

Como comentei no início do texto, segurança não deve ser pensada quando todo o código estiver pronto, mas na sua concepção, em sua arquitetura, quando os desenhos estiverem sendo feitos, quando o banco de dados estiver sendo escolhido, bem como qual nuvem além de todos os detalhes que irão compor o que se está fazendo. Ética e observação das leis locais e internacionais cabíveis também precisam estar incluídas em todo o processo.

Atualmente, segurança da informação e cibersegurança não são gastos, mas investimentos, afinal, comparativamente, são bem mais baratas do que milhões em processos legais que podem demorar anos e custar toda a credibilidade de uma empresa e causar danos às vidas que acreditam nessas empresas.

Fontes

NBC News. 10 women have sued the Tea app after user photos were hacked and leaked online. https://www.nbcnews.com/tech/social-media/10-women-sued-tea-app-photos-hacked-leaked-online-rcna222880

Associated Press. Tea, an app for women to safely talk about men they date, has been breached, user IDs exposed. https://apnews.com/article/tea-app-women-breach-ids-selfies-dating-5433d5929bdfeb73f495d4775580a55f

Lucas Montano. Hacked: the Tea App case. https://youtu.be/YhYiHFOBTOg?si=rw0aSonTwgjwKxZB

Wired. McDonald’s AI Hiring Bot Exposed Millions of Applicants’ Data to Hackers Who Tried the Password ‘123456’. https://www.wired.com/story/mcdonalds-ai-hiring-chat-bot-paradoxai/