O BetVictor Divulgou uma Lista de Senhas para o Seu Sistema Interno na Plataforma de Apostas

A Copa do Mundo da FIFA está em pleno andamento no momento, o que significa que os fãs de futebol (ou futebol) estão recebendo 96 horas do belo jogo em pouco mais de um mês. São 64 jogos em 32 dias, e os fãs não são os únicos animados. As casas de apostas também estão de mãos dadas, esperando receitas e lucros recordes. No entanto, para as pessoas que administram o BetVictor, uma plataforma de apostas on-line com sede em Gibraltar, as coisas são um pouco diferentes porque foi descoberto que até pouco tempo atrás, o site deles estava deixando bastante informação extremamente sensível completamente exposta.

Um Erro Bobo Mostra como os Agentes de Atendimento ao Cliente da BetVictor são Treinados

Os dados foram encontrados pelo pesquisador de segurança Chris Hogben, que estava visitando o site da BetVictor da mesma maneira que um usuário comum. Em seu blog, Hogben disse que estava tendo alguns problemas com a plataforma e estava tentando resolvê-los. Ele encontrou a seção da base de conhecimento e começou a usar a caixa de pesquisa para encontrar as respostas para suas perguntas.

Ele acabou olhando coisas que não deveria estar olhando. Foi um artigo que dizia aos agentes de atendimento ao cliente como lidar com várias consultas vindas dos clientes. A captura de tela publicada por Hogben mostra alguns truques criados para acalmar os usuários insatisfeitos do BetVictor, na esperança de que eles abandonem suas ideias de cancelar um serviço específico.

É seguro supor que documentos semelhantes fazem parte do treinamento de agentes de atendimento ao cliente em muitas empresas, mas eles tendem a ser compartilhados apenas entre os funcionários. Alguém no BetVictor (involuntariamente ou não) os deixou expostos, o que é embaraçoso. O segundo erro de segurança do apostador on-line não é embaraçoso. É perigoso.

Os Grandes Problemas

Hogben ficou intrigado com a natureza pública dos documentos de treinamento de atendimento ao cliente e ficou imaginando o que mais a caixa de pesquisa poderia revelar. Ele digitou "admin" e viu alguns resultados preocupantemente relevantes.

Havia um documento que, apesar do rótulo "Interno", era visível para quem sabia o que procurar. Continha um total de 27 URLs vinculados aos sistemas internos de negociação e emissão de bilhetes do BetVictor, além de uma entrada para o serviço de verificação de identidade Experian. Ele também continha 19 combinações de nome de usuário e senha, algumas das quais aparentemente deveriam ser usadas nos URLs mencionados acima.

Chris Hogben tentou as 27 URLs e descobriu que 22 delas poderiam ser visitadas de qualquer lugar do mundo.

Um Exemplo Chocante de Gerenciamento de Senha

Hogben não testou as credenciais de login porque isso seria ilegal. Tendo descoberto eles em um local público, no entanto, não havia nada para impedi-lo de analisá-los.

Cinco das senhas eram idênticas ou quase idênticas ao nome de usuário fornecido e 11 delas estavam disponíveis no banco de dados de senhas Pwned de Troy Hunt. Parece que a pessoa responsável pelo gerenciamento dessas senhas cometeu alguns erros bastante básicos. Dificilmente ideal quando você considera o fato de que eles estão trabalhando para uma plataforma de apostas usada por mais de meio milhão de pessoas.

E enquanto estamos no assunto de coisas que não são perfeitas, o tratamento do problema pelo BetVictor deixou muito a desejar também.

Ainda não Sabemos o Tamanho do Incidente.

A comunicação entre Chris Hogben e BetVictor mostra que os representantes da empresa não eram muito falantes. Perguntados pela mídia, eles disseram que os documentos internos, que faziam parte de uma seção de ajuda ao atendimento ao cliente, foram removidos. Eles também disseram que uma investigação está em andamento.

O que eles não disseram é se alguma informação do usuário pode ser roubada dos sistemas internos que foram deixados de fora. Temos certeza de que as pessoas responsáveis pela aplicação dos novos regulamentos GDPR da UE também ficariam felizes em ouvir isso.

O BetVictor Teve Sorte

Não há evidências de que alguém com más intenções ponha as mãos nas credenciais de login e nos URLs internos e os use para causar danos, por isso é seguro dizer que as pessoas no BetVictor podem respirar aliviadas. Os usuários, no entanto, não podem fazer isso.

Todo o fiasco mostra como algumas empresas são desleixadas quando se trata de lidar com informações confidenciais.