A maior empresa de cosméticos do Brasil, a Natura, acidentalmente deixou centenas de gigabytes de informações pessoais e relacionadas a pagamentos de seus clientes publicamente acessíveis on-line. O vazamento expõe dados de clientes da Natura que poderiam ser acessados por qualquer pessoa sem autenticação.
O pesquisador da SafetyDetective, Anurag Sen, foi quem fez a descoberta, ainda no mês passado. Segundo ele, dois servidores hospedados na Amazon estavam (ou ainda estão) sem proteção. Um com 272 GB e outro de 1,3 TB de tamanho. Juntos, possuíam mais de 192 milhões de registros.
[Reported]- Natura tinha brecha de segurança que expôs mais de 250 mil clientes .https://t.co/E2nndBcHm7
— Anurag Sen (@hak1mlukha) May 20, 2020
De acordo com o relatório que a Anurag compartilhou com o site The Hacker News, os dados expostos incluem:
- a identificação pessoal de 250.000 clientes da Natura;
- os cookies de login de suas contas;
- além de arquivos contendo registros dos servidores e usuários.
O preocupante é que as informações vazadas também incluem detalhes da conta de pagamento Moip com tokens de acesso para quase 40.000 usuários do wirecard.com.br que os integraram às suas contas Natura.
Cerca de 90% dos usuários eram clientes brasileiros, embora outras nacionalidades também estivessem presentes, incluindo clientes do Peru, disse Anurag.
O servidor comprometido continha logs de API de sites e sites móveis, expondo todas as informações do servidor de produção. Além disso, vários ‘nomes de buckets da Amazon’ foram mencionados no vazamento, incluindo documentos em PDF referentes a acordos formais entre várias partes, disse Anurag.
Vazamento expõe os seguintes dados de clientes da Natura
- Nome completo
- Nome de solteira da mãe
- Data de nascimento
- Nacionalidade
- Gênero
- Senhas de login com hash com sais
- Nome de usuário e apelido
- Detalhes da conta MOIP
- Credenciais de API com senhas não criptografadas
- Compras recentes
- Número de telefone
- E-mail e endereços físicos
- Token de acesso para wirecard.com.br
Além disso, o servidor desprotegido também possuía um arquivo de certificado .pem secreto que contém a chave/senha do servidor Amazon EC2 onde o site Natura está hospedado. Se explorada, a chave do servidor poderia permitir que invasores injetassem diretamente um skimmer digital diretamente no site oficial da empresa para roubar os detalhes do cartão de pagamento dos usuários em tempo real.
Os detalhes expostos sobre o back-end, bem como as chaves dos servidores, podem ser aproveitados para realizar novos ataques e permitir uma penetração mais profunda nos sistemas existentes, alertou o pesquisador.
Natura foi avisada e não deu retorno
A SafetyDetective tentou relatar as descobertas de seu pesquisador diretamente à empresa afetada no mês passado, mas não recebeu nenhuma resposta a tempo. Sendo assim, entrou em contato com os serviços da Amazon, que pediram à empresa para proteger os dois servidores imediatamente.
Até agora não se sabe se os servidores desprotegidos e os dados confidenciais armazenados neles também foram acessados por um agente malicioso antes de ficarem offline.
Portanto, se você possui uma conta na Natura, fique atento. Sua identidade pode ter sido alterada, junto com senha. Isso pode levar a movimentações financeiras indevidas. Ainda segundo o pesquisador, o risco de phishing e golpes telefônicos é grande.
The Hacker News