Uma violação significativa de dados envolvendo uma empresa de tecnologia governamental dos EUA foi identificada após o pesquisador de cibersegurança Jeremiah Fowler descobrir um banco de dados aberto acessível a qualquer pessoa com um navegador web. O repositório exposto, vinculado à CitySourced, continha aproximadamente 42 milhões de documentos e 450.000 arquivos JSON contendo informações de identificação pessoal (PII) em texto simples. Embora os registros consistissem principalmente de imagens relacionadas a reclamações ou relatórios de violação de código, a análise revelou que também incluíam nomes de indivíduos, endereços postais, endereços de e-mail e números de telefone.
O banco de dados continha milhares de registros internos datados de 2016 a 2026, apresentando um risco substancial, pois tais dados são frequentemente utilizados por cibercriminosos para campanhas de phishing direcionadas ou vendidos na dark web. Fowler observou que o repositório continha vários diretórios de aplicativos, incluindo Api, Customers e FileStorage, juntamente com múltiplos arquivos .sdk e .exe que pareciam fora do lugar e poderiam sugerir uma tentativa de plantar malware. A CitySourced, fundada em 2009 e posteriormente adquirida pela Granicus após a fusão com a Rock Solid Technologies, desenvolve software que permite aos residentes relatar problemas locais, como buracos nas estradas ou postes de luz defeituosos, às autoridades municipais.
Após a notificação da vulnerabilidade, a CitySourced protegeu o banco de dados e reconheceu os esforços do pesquisador. Uma declaração da empresa indicou que a Granicus havia revisado as informações fornecidas, conduzido uma investigação interna e estava tomando medidas para resolver o problema. Fowler enfatizou que, embora não pudesse determinar se um contratante de terceiros gerenciava a infraestrutura, o incidente destaca os riscos contínuos associados ao armazenamento em nuvem mal configurado.
A violação sublinha a prevalência de vazamentos de dados causados por erros de configuração, onde as empresas podem assumir erroneamente que seus provedores de nuvem são os únicos responsáveis pela segurança ou permanecerem inconscientes de dados expostos. Para mitigar tais riscos, Fowler recomenda que as organizações segmentem ambientes de clientes e dados internos para garantir o isolamento de inquilinos. Ele aconselhou ainda que sistemas de armazenamento, backups e dados sensíveis devem ser criptografados e protegidos contra acesso não autorizado por meio de controles de acesso robustos. Para os indivíduos, o pesquisador sugeriu manter ceticismo em relação a e-mails não solicitados contendo links ou anexos, dada a probabilidade de que dados pessoais já tenham sido comprometidos em violações passadas.
Fontes: TechRadar.