Gearbest expõe dados dos clientes - incluindo passwords não encriptadas

O escândalo de segurança desta semana recai sobre a nossa bem conhecida loja online Gearbest, que investigadores descobriram manter uma base de dados exposta ao público, contendo informação sobre os clientes, compras que fizeram, moradas, e até as passwords sem qualquer encriptação.

O relato desta descoberta desta falha de segurança na Gearbest é verdadeiramente aterradora, figurando-se como um dos piores casos de sempre, e onde fica evidente uma total falta de preocupação com a segurança dos dados dos clientes - e até da própria gestão do site.

Uma base de dados "Elastic Search" está exposta ao mundo, dando acesso imediato e sem qualquer tipo de encriptação aos dados dos clientes, incluindo nomes, emails, passwords, moradas, documentos pessoais (nalguns casos), tudo o que compraram, e até aos métodos de pagamento. Este último permite que atacantes possam usar métodos como o Boleto, popular no Brasil, de forma fraudulenta.

Os investigadores referem que, para além da óbvia gravidade desta falha de segurança, a lista de produtos comprados pode resultar ainda em problemas acrescidos, caso alguém se dedique a investigar produtos "sensíveis", como brinquedos sexuais, que tenham sido enviados para países mais repressivos nessas matérias, permitindo perseguir os visados, ou sujeitá-los a chantagem.

Mais preocupante, é que mesmo depois de ter sido alertada para o caso, a Gearbest não deu qualquer resposta nem efectuou qualquer correcção, com todos estes dados a permanecerem expostos ao público. Situação que a deixa numa péssima posição para enfrentar a já previsível queixa ao abrigo do RGPD que se seguirá a caso tão flagrante.


Nota: até que a situação seja resolvida, não valerá a pena trocar a password, uma vez que irá imediatamente ficar exposta. Caso usassem uma password repetida (o que nunca deveriam fazer!), apressem-se a alterá-la nos noutros sites - e desta vez optem por passwords únicas para cada site ou serviço.