Universidade norte-americana deixa vazar dados de 24 mil estudantes

Uma universidade história dos Estados Unidos deixou vazar informações pessoais e senhas criptografadas de 24,5 mil estudantes. O caso aconteceu na Kenyon College, no estado americano de Ohio, que mantinha um servidor desprotegido em uma nuvem do Google localizada na Índia, onde as informações estavam disponíveis sem nenhum tipo de verificação de identidade ou exigência de credenciais para acesso.

• Brasil é o 12º país mais atingido por vazamento de dados
• Vazamento de dados corporativos aumentou 78% em 2021; saiba como se proteger

No volume encontrado pelos especialistas em segurança do Cybernews estão 4,7 GB de informações. Nomes completos, e-mails e endereços apareciam em meio aos dados, assim como informações estudantis relacionadas a grupos de estudo, listas de membros e oportunidades de emprego. Senhas também estavam disponíveis, mas criptografas no formato bcrypt, difícil, mas não impossível de ser decifrado e possibilitando a obtenção, também, deste registro pelos criminosos.

Segundo os pesquisadores responsáveis pela descoberta, os e-mails comprometidos eram parte dos domínios do Kenyon College, o que poderia levar a intrusões contra sistemas internos e caixas de correio caso as credenciais fossem descriptografadas. Além disso, ataques de phishing em nome da própria instituição poderiam ser direcionados aos estudantes com esse mesmo fim, enquanto a descoberta de senhas também poderia levar a intrusões em novas contas caso os indivíduos as repitam, uma prática de segurança nada recomendada.

Além da falta de verificação de identidade, o servidor desprotegido também continha múltiplas falhas graves de segurança em sistemas OpenSSH e Apache HTTPD. Isso significa que, mesmo que credenciais fossem exibidas para visualização do conteúdo, criminosos poderiam explorar tais aberturas, algumas com atualização disponível desde 2013, para obter acesso aos dados.

No momento em que essa reportagem é escrita, o acesso ao volume já foi protegido. Entretanto, não é possível saber se os dados foram acessados ou comprometidos por terceiros, uma vez que o Kenyon College não se pronunciou sobre o assunto.

Fonte: Cybernews