Vazamento massivo expõe 2,7 bilhões de registros de dispositivos IoT
Por Jones Oliveira |
Um dos maiores vazamentos de dados já registrados foi revelado na última semana, expondo 2,7 bilhões de registros confidenciais provenientes das empresas Mars Hydro e LG-LED Solutions. O volume de 1,17 terabytes estava armazenado em um banco de dados desprotegido e acessível publicamente na internet.
- Hackers chineses miram 12 mil roteadores Cisco em novos ataques; proteja-se
- Falha grave no 7-Zip permite que hackers infectem PCs sem alerta de segurança
O vazamento foi descoberto pelo pesquisador de cibersegurança Jeremiah Fowler, que relatou suas descobertas à equipe do vpnMentor. Entre os dados expostos estão nomes de redes Wi-Fi, senhas, endereços IP, identificadores de dispositivos e informações de APIs - todos armazenados em texto puro, sem qualquer tipo de criptografia.
A gravidade do incidente é evidente não apenas pelo volume, mas principalmente pela natureza sensível dos dados. Com acesso a esses registros, cibercriminosos poderiam potencialmente invadir redes domésticas e corporativas, sequestrar dispositivos IoT para ataques de botnet ou até mesmo manipular remotamente equipamentos conectados como luzes, ventiladores e sistemas de climatização.
Bancos de dados estavam desprotegidos
De acordo com Fowler, o vazamento ocorreu devido a bancos de dados MongoDB que foram deixados sem qualquer proteção por senha. "Encontramos 13 pastas contendo mais de 100 milhões de registros cada, incluindo SSIDs de redes Wi-Fi, senhas em texto puro, endereços IP, números de identificação de dispositivos e muito mais", relatou o pesquisador.
Entre os dados obtidos pela exploração estão:
- Nomes de redes Wi-Fi (SSIDs) e senhas
- Endereços IP de dispositivos e usuários
- Identificadores únicos de dispositivos IoT
- Detalhes de sistemas operacionais (iOS/Android)
- Tokens de APIs e versões de aplicativos
- Logs de erros contendo informações sensíveis
"Com essas credenciais expostas, um atacante poderia potencialmente se conectar à rede Wi-Fi e comprometer outros dispositivos ou tentar um ataque de 'vizinho mais próximo' (KNN)", alertou Fowler. Esse tipo de ataque permite que hackers explorem redes próximas geograficamente para atingir alvos específicos, como demonstrado recentemente em um incidente envolvendo hackers russos.
Vulnerabilidade de dispositivos IoT
A investigação revelou que os dados eram coletados pelo aplicativo Mars Pro, utilizado para controlar luzes de cultivo e sistemas de climatização IoT da Mars Hydro. Curiosamente, a política de privacidade do app afirma que nenhum dado do usuário é armazenado — o que claramente não condiz com a realidade.
"Não está claro como os registros de logs contêm detalhes de conectividade e credenciais. Uma possibilidade é que sejam capturados e registrados pelos dispositivos IoT uma vez que estão conectados à rede local do usuário", explicou Fowler. "Independentemente de como essa informação foi obtida, isso levanta preocupações potenciais sobre a segurança de dispositivos IoT e privacidade da rede."
O caso exemplifica um problema já conhecido na indústria: a falta de proteção adequada em dispositivos IoT. Um estudo da Palo Alto Networks estima que 57% dos dispositivos IoT são altamente vulneráveis, com 98% transmitindo dados sem qualquer criptografia. Além disso, 83% dos dispositivos conectados executam sistemas operacionais desatualizados ou sem suporte.
"Muitos dispositivos IoT têm capacidades de processamento limitadas, que restringem a implementação de recursos de segurança adicionais, ferramentas de criptografia ou instalação de atualizações importantes de segurança ou firmware", alertou o pesquisador.
Vazamento afeta brasileiros?
Não há detalhes específicos sobre quantos usuários brasileiros podem ter sido afetados pelo vazamento. No entanto, considerando que a Mars Hydro comercializa seus produtos globalmente, inclusive no Brasil, é provável que dados de clientes locais estejam entre os registros expostos.
Este incidente serve como mais um alerta sobre a importância de configurar corretamente dispositivos IoT e implementar medidas de segurança adequadas. Tanto usuários quanto fabricantes precisam estar atentos aos riscos e tomar providências para proteger dados sensíveis.
Aprenda a manter seus dispositivos IoT seguros
Para reduzir os riscos de exposição de dados e invasões, siga estas 9 dicas ao configurar e utilizar dispositivos IoT:
- Altere sempre as senhas padrão de fábrica por senhas fortes e únicas. Evite reutilizar senhas entre dispositivos diferentes. Use um gerenciador de senhas para criar e armazenar credenciais seguras.
- Mantenha o firmware dos dispositivos sempre atualizado. Verifique regularmente se há atualizações disponíveis e aplique-as prontamente. Ative atualizações automáticas quando possível.
- Segmente sua rede doméstica, isolando dispositivos IoT em uma rede separada dos seus computadores e smartphones. Isso ajuda a conter potenciais invasões.
- Desative recursos desnecessários como acesso remoto ou UPnP se não forem utilizados. Quanto menos portas e serviços ativos, menor o alcance do ataque.
- Utilize criptografia forte nas comunicações Wi-Fi. Prefira WPA3 ou no mínimo WPA2 com uma senha robusta. Evite o uso de WEP, que é facilmente quebrável.
- Verifique as configurações de privacidade dos dispositivos e aplique as opções mais restritivas possíveis. Desative coleta de dados desnecessária.
- Considere o uso de um firewall dedicado para IoT ou uma VPN para adicionar uma camada extra de proteção à sua rede doméstica.
- Monitore o tráfego de rede em busca de atividades suspeitas. Há ferramentas gratuitas que podem ajudar a detectar anomalias.
- Ao descartar dispositivos antigos, faça uma restauração de fábrica para apagar todos os dados. Se possível, desative permanentemente o acesso à nuvem.
Vídeo: Ainda tem medo de pagar suas compras usando o telefone ou o smartwatch? Canaltech discute questão neste vídeo no YouTube
Leia mais no Canaltech:
- Wi-Fi público é perigoso? Entenda o risco de usar redes abertas
- Como age o malware que lê imagens do celular achado pela primeira vez no iPhone
- 5 dicas para evitar golpes ao procurar por emprego na internet
Fonte: vpnMentor