VPN gratuita expõe os dados de um milhão de usuários

Dados pessoais de cerca de um milhão de usuários da VPN Quickfox foram expostos na internet, a partir de um servidor sem as devidas configurações de segurança. Nomes, números de telefone, e-mails e outras informações entregues pelos usuários poderiam ser visualizadas por qualquer pessoa, um aspecto que já seria ruim o bastante e ainda acompanha o fato de a plataforma gratuita ter a maior parte de sua base de usuários na China, onde é utilizada para burlar as restrições da internet local e acessar sites considerados proibidos.

• Criminosos usam o hype de Round 6 para instalar malware em 5 mil celulares
• Pagamentos de sequestro digital já ultrapassaram US$ 5 bilhões em 10 anos
• Divulgação de dados na dark web cresceu 1.100% desde 2015

O alerta foi feita pela WizCase, empresa especializada em cibersegurança, que encontrou as informações em um servidor Elastic Search. A infraestrutura era acessível sem a necessidade de login e senha, enquanto os próprios dados estavam disponíveis de forma direta, sem nenhum tipo de criptografia aplicada, indicando a ausência de configurações adequadas pelos administradores da plataforma.

No total, eram mais de 100 GB de dados e 500 milhões de registros — as múltiplas entradas por usuários levaram a empresa de segurança à estimativa de um milhão de pessoas afetadas. Senhas também faziam parte do volume, mas estavam em formato hash MD5, trazendo alguma proteção, mas segundo a WizCase, incapaz de resistir a tentativas de leitura por softwares modernos, usados por criminosos e agências governamentais para quebrar encriptações desse tipo.

Os especialistas também chamam a atenção para o fato de, entre os registros, estarem também os IPs atribuídos a cada usuário da VPN, assim como os endereços originais usados para acesso. Novamente, quando se fala de um serviço usado para burlar restrições governamentais, tal exposição gera perigo real de perseguição para os usuários, assim como a própria catalogação de tais informações pela plataforma poder ser considerada uma quebra na confiança. Outro registro grave, incluído no volume, está relacionado a listas de softwares instalados nas máquinas de utilizadores, para fins de atualização.

Os responsáveis pela descoberta vão além, apontando que esse tipo de armazenamento nem mesmo é necessário. Não se trata de uma imposição legal nem uma prática de segurança comum, muito pelo contrário. A WizCase também aponta que não existem menções sobre esse tipo de registro nos termos de uso da VPN, o que leva a pensar que os usuários podem não estarem cientes sobre tal situação. Além de chineses, o vazamento atinge indivíduos nos Estados Unidos, Japão, Indonésia e Cazaquistão, que aparecem como maioria do volume exposto.

A Quickfox não respondeu aos contatos dos especialistas, enquanto o relato deles não deixa claro se o servidor permanece desprotegido no momento em que essa reportagem é escrita. Por conta disso, também não é possível mensurar se o banco de dados foi visualizado ou baixado por terceiros, principalmente indivíduos maliciosos que podem utilizar tais informações para aplicar golpes ou realizar ataques.

De acordo com os pesquisadores, o ideal é que os usuários prestem atenção aos termos de uso de serviços de VPN e fiquem atentos ao tipo de informação pedida durante os cadastros. Vale a pena, também, pesquisar sobre serviços de confiança e prestar atenção em mensagens ou e-mails que possam ser fraudulentos; isso vale, principalmente, aos usuários da Quickfox que, agora, podem estar na mira de criminosos em busca de novas intrusões ou informações financeiras e pessoais.

Fonte: Wizcase