Maior marca de cosméticos do Brasil, Natura, expõe detalhes pessoais de seus usuários
A maior empresa de cosméticos do Brasil, a Natura, acidentalmente deixou centenas de gigabytes de informações pessoais e relacionadas a pagamentos de seus clientes publicamente acessíveis on-line, que poderiam ser acessadas por qualquer pessoa sem autenticação.
O pesquisador da SafetyDetective, Anurag Sen , descobriu no mês passado dois servidores hospedados na Amazon sem proteção – com 272 GB e 1,3 TB de tamanho – pertencentes à Natura, que consistiam em mais de 192 milhões de registros.
De acordo com o relatório, os dados expostos incluem informações de identificação pessoal de 250.000 clientes da Natura, os cookies de login de suas contas, além de arquivos contendo registros dos servidores e usuários.
O preocupante é que as informações vazadas também incluem detalhes da conta de pagamento Moip com tokens de acesso para quase 40.000 usuários do wirecard.com.br que os integraram às suas contas Natura.
“Cerca de 90% dos usuários eram clientes brasileiros, embora outras nacionalidades também estivessem presentes, incluindo clientes do Peru”, disse Anurag.
“O servidor comprometido continha logs de API de sites e sites móveis, expondo todas as informações do servidor de produção. Além disso, vários ‘nomes de buckets da Amazon’ foram mencionados no vazamento, incluindo documentos em PDF referentes a acordos formais entre várias partes”, disse Anurag.
Mais precisamente, as informações pessoais sensíveis vazadas dos clientes incluem:
- Nome completo
- Nome de solteira da mãe
- Data de nascimento
- Nacionalidade
- Gênero
- Senhas de login com hash com sais
- Nome de usuário e apelido
- Detalhes da conta MOIP
- Credenciais de API com senhas não criptografadas
- Compras recentes
- Número de telefone
- E-mail e endereços físicos
- Token de acesso para wirecard.com.br
Além disso, o servidor desprotegido também possuía um arquivo de certificado .pem secreto que contém a chave / senha do servidor Amazon EC2 onde o site Natura está hospedado.
Se explorada, a chave do servidor poderia permitir que invasores injetassem diretamente um skimmer digital diretamente no site oficial da empresa para roubar os detalhes do cartão de pagamento dos usuários em tempo real.
“Os detalhes expostos sobre o back-end, bem como as chaves dos servidores, podem ser aproveitados para realizar novos ataques e permitir uma penetração mais profunda nos sistemas existentes”, alertou o pesquisador.
A SafetyDetective tentou relatar as descobertas de seu pesquisador diretamente à empresa afetada no mês passado, mas não recebeu nenhuma resposta a tempo, após o que entrou em contato com os serviços da Amazon, que pediram à empresa para proteger os dois servidores imediatamente.
No momento da redação deste documento, não se sabe se os servidores desprotegidos e os dados confidenciais armazenados neles também foram acessados por um agente malicioso antes de ficarem offline.
Portanto, se você possui uma conta na Natura, é aconselhável manter-se vigilante contra roubo de identidade, alterar a senha da conta e acompanhar de perto as transações do cartão de pagamento para detectar sinais de qualquer atividade suspeita.
“Instâncias de informações pessoalmente identificáveis expostas podem levar a roubo e fraude de identidade, pois podem ser usadas por atacantes para identificação em vários locais e locais”, acrescentou o pesquisador. “O risco de phishing e golpes telefônicos também é aumentado pelo vazamento de dados da Natura.”
Fonte: THN
