Vibetech expõe 13,7 milhões de registos sensíveis numa base de dados desprotegida

Uma base de dados da Vibetech com 13,7 milhões de registos de fugas anteriores, incluindo passwords e dados bancários, esteve exposta na internet.

Uma falha grave de exposição de dados

A empresa indiana de desenvolvimento de software Vibetech esteve no centro de um incidente de segurança após ter sido descoberta uma base de dados com 13,7 milhões de registos exposta na internet, sem qualquer tipo de proteção ou autenticação. A descoberta foi feita pelo investigador de segurança Jeremiah Fowler, conhecido por identificar bases de dados mal configuradas.

Segundo a investigação, a base de dados não era apenas uma coleção de metadados, mas um repositório que agregava informações altamente sensíveis provenientes de diversas fugas e ciberataques anteriores. Entre os dados expostos encontravam-se nomes, números de telefone, endereços de correio eletrónico, palavras-passe e detalhes de contas bancárias de utilizadores de múltiplos países.

Origem e impacto dos dados

A análise de Fowler revelou que a base de dados estava organizada por nomes de empresas, sugerindo que a Vibetech estaria a recolher e a centralizar dados de incidentes de segurança passados. Os números são expressivos:

• AT&T: Cerca de 8 milhões de registos;
• Amazon: 1,2 milhões de registos;
• Walmart: 420.000 registos;
• BluBank Digital Bank: 24.000 registos;
• PayPal: 18.000 registos;
• FBI (Diretório de funcionários): 4.084 registos;
• Interpol: 929 registos.

A natureza dos dados torna este incidente particularmente perigoso. Ao contrário de fugas que expõem apenas e-mails, a presença de palavras-passe e informações bancárias permite que agentes mal-intencionados acedam diretamente a contas online, realizem transferências financeiras ou utilizem as credenciais para ataques de ransomware.

Contexto e medidas de segurança

Após o alerta de Jeremiah Fowler, a Vibetech e o fornecedor de alojamento restringiram o acesso à base de dados. Um dia depois, o endereço IP em questão deixou de apresentar as credenciais em texto simples, passando a exibir um painel de controlo de um sistema de gestão de segurança da informação (ISMS).

Este caso levanta questões éticas e legais sobre a prática de empresas que recolhem e armazenam dados comprometidos, supostamente para fins de inteligência de ameaças ou monitorização. Embora estas bases de dados possam oferecer insights sobre tendências de ataques, a sua gestão num ambiente de segurança complexo e sem proteção adequada coloca em risco os utilizadores originais dos dados.

Se suspeitas que os teus dados possam ter sido expostos em fugas anteriores, a recomendação padrão de segurança permanece inalterada: altera imediatamente as tuas palavras-passe em serviços críticos e mantém-te vigilante contra e-mails de phishing ou contactos suspeitos.

Fontes

• https://www.techradar.com/pro/security/massive-data-leak-from-ai-development-company-exposes-almost-14-million-records-vibetech-collected-data-from-different-breaches-and-accidentally-made-them-accessible-online