A equipe do Joomla anunciou uma violação de segurança causada por um backup não criptografado
Os desenvolvedores do Joomla, um projeto de código aberto e um dos sistemas de gerenciamento de conteúdo mais populares do mundo, relataram uma violação de dados na semana passada. Um ex-membro da equipe fez o upload de um backup de todo o site do Joomla Resources Directory em um bucket S3 desprotegido do Amazon Web Service (AWS). Incluídos no backup estavam os detalhes de cerca de 2.700 usuários registrados. A equipe do Joomla decidiu não varrer a brecha para debaixo do tapete, e o incidente foi descrito em uma notificação bastante detalhada. Alguns podem pensar que esta é uma decisão estranha.
A maioria dos dados expostos era acessível ao público de qualquer maneira
A maioria das contas afetadas pertence a desenvolvedores que usam o site para anunciar suas habilidades e serviços. Os detalhes expostos incluíam nomes, endereços de email, endereços físicos, números de telefone, sites da empresa, preferências de assinatura de boletins, endereços IP e senhas com hash. Tudo, exceto as senhas, estava em texto sem formatação e o backup inteiro não foi criptografado.
Isso não é uma coisa muito boa, mas é preciso dizer que os usuários afetados não têm muito com que se preocupar. A maioria das informações estava acessível ao público de qualquer maneira, portanto, embora não haja informações sobre se alguém acessou ou não o backup exposto, o impacto potencial dessa violação de dados específica é bastante baixo.
A má manipulação de backup não é uma boa aparência
Apesar da gravidade relativamente baixa da violação, a equipe do Joomla parece levar o incidente a sério. E assim deveriam.
Como o ZDNet apontou, até muito recentemente, o Joomla era o segundo sistema de gerenciamento de conteúdo mais popular do mundo, e embora não seja tão grande quanto o WordPress, o número de sites com base nele é superior a 2 milhões. A responsabilidade pelas pessoas que executam o projeto é bastante grande, e permitir que backups não criptografados vazem dessa maneira simplesmente não é aceitável.
Felizmente, a violação foi seguida por uma auditoria de segurança e a equipe garante que várias alterações nas políticas e procedimentos foram implementadas. É definitivamente uma situação melhor do que nunca, e esperamos que os desenvolvedores de outros projetos desse tamanho aprendam com os erros do Joomla e tomem as precauções necessárias antes que quaisquer dados sejam expostos.
