Pray.com dados expostos de milhões após o banco de dados estragar

Views: 319
0 0
Read Time:2 Minute, 21 Second

Pray.com aplicou baixa segurança potencialmente expondo quase 10 milhões de usuários a fraudes e ataques cibernéticos, afirmam os pesquisadores da VpnMentor.

A equipe de pesquisa da VpnMentor liderada por Noam Rotem e Ran Locar descobriu quatro baldes S3 do Amazon Web Service (AWS) desconfigurados pertencentes a um aplicativo Pray.com que têm vazado os dados da empresa desde 2016.

Pray.com é um dos aplicativos de fé cristã mais populares com mais de um milhão de downloads na Play Store.

Pesquisadores afirmam que a infraestrutura em nuvem desconfigurada da empresa sediada em Santa Monica levou à exposição de dados pessoais de cerca de 10 milhões de pessoas. Supostamente, os desenvolvedores do aplicativo não garantiram adequadamente as enormes reservas de dados coletados do aplicativo.

“Pray.com aparentemente negligenciados instalando medidas de segurança adequadas em sua conta CloudFront. Como resultado, todos os arquivos nos baldes S3 poderiam ser visualizados e acessados indiretamente através do CDN, independentemente de suas configurações de segurança individuais”, escreveram os pesquisadores no post oficial do blog.

Cerca de 1,8 milhão de arquivos foram armazenados nos baldes desconfigurados, a maioria contendo conteúdo corporativo, incluindo áudio bíblico e orientação diária de oração.

No entanto, cerca de 80.000 arquivos continham dados pessoais, como fotos de perfil de usuários de aplicativos, endereços residenciais, números de telefone, endereços de e-mail de frequentadores da igreja, arquivos CSV das igrejas e PIL de pessoas que doaram para igrejas via Pray.com.

O maior risco de segurança é causado por um recurso no aplicativo que carrega toda a lista telefônica de um usuário depois de obter permissão para convidar seus amigos a participar. As listas telefônicas continham centenas de números de contatos, e-mail, endereço residencial e comercial e outras informações pessoalmente identificáveis. Muitos arquivos também continham os detalhes de login da conta privada dos usuários.

Os pesquisadores da VpnMentor observaram que alguns dos usuários afetados no vazamento tinham endereços de e-mail ‘.mil’ e ‘.gov’. Esses indivíduos estarão em maior risco de phishing, sequestro de contas e ataques de fraude de identidade.

Pray.com exposed data of millions after database mess up

O aplicativo não implementou medidas de segurança confiáveis em seu CDN Cloudfront, que permite aos desenvolvedores cache de conteúdo em servidores proxy hospedados pela AWS em todo o mundo, em vez de carregar arquivos do servidor do aplicativo.

Como o CDN podia acessar os 80.000 arquivos expostos, qualquer hacker poderia facilmente comprometer milhões de dados privados de pessoas. Ironicamente, a maioria não usava Pray.com.

Pray.com foi notificado repetidamente em outubro pela vpnMentor, e recebeu uma resposta de uma palavra do CEO da empresa, Steve Gatena, que dizia: “Cancelar a inscrição”. Cinco semanas depois que o VpnMentor tentou entrar em contato com a empresa, os arquivos expostos foram removidos dos baldes. No entanto, os baldes AWS S3 permaneceram expostos.

FONTE: HACK READ

POSTS RELACIONADOS