Uma falha de configuração em um servidor da Orsegups Participações S.A., empresa brasileira que atua nas áreas de segurança eletrônica, segurança patrimonial e facilities, ocasionou o vazamento de uma série de documentos fiscais que revelou os valores de contratos de clientes. O vazamento comprometeu mais de 25 GB de arquivos, incluindo faturas e documentos de cobrança de impostos referentes aos serviços prestados pelas empresas do grupo. O caso foi investigado pelo site norte-americano ZDNet em parceria com o The Hack.
Os arquivos que ficaram expostos pelo bucket S3 contava com uma grande variedade de documentos fiscais com valor dos contratos de serviços prestados a entidades públicas e privadas. Uma série de faturas levantadas para milhares de pessoas que contrataram os serviços da empresa para proteção residencial e de veículos foram expostas no vazamento, incluindo dados como nomes completos dos clientes, números de previdência social, endereços e números de telefone. O problema é que esses dados também podem ser utilizados para a criação de campanhas de engenharia social personalizadas.
Em relação aos clientes corporativos, o vazamento revelou informações sobre gastos em serviços de segurança em órgãos públicos e empresas privadas. Ainda segundo informações do site ZDNet, a empresa foi notificada em 31 de janeiro e desativou o servidor vulnerável apenas várias semanas depois.
O pesquisador de segurança da ESET, Daniel Barbosa, destaca que as empresas precisam se preocupar com serviços antigos. “Mesmo que sejam servidores legados e que os serviços não sejam mais usados, é necessário desativá-los por completo, tratando os dados e destruindo-os se necessário”.
Barbosa também enfatiza que, assim como a própria empresa mencionou, o caso se trata de servidores e informações antigas, mas que apenas agora profissionais de segurança reportaram a vulnerabilidade. “Muitos criminosos podem ter se aproveitado da falha e extraído os dados para utilizá-los das mais diversas formas. É necessário que as empresas se atentem cada vez mais às novas e crescentes necessidades de segurança de dados”, destaca.
