Uma violação de dados na plataforma espanhola de e-learning 8Belts afeta mais de 150.000 usuários em todo o mundo

8Belts é uma plataforma de aprendizado de espanhol online especializada em cursos de idiomas estrangeiros. Foi fundada em 2011 e foi parcialmente financiada pelo Fundo Europeu de Desenvolvimento Regional da UE e pelo governo espanhol. De acordo com os pesquisadores de segurança Noam Rotem e Ran Locar, no entanto, o 8Belts é usado por pessoas de todo o mundo, incluindo Angola, Austrália, Barbados, Bélgica, EUA e Uzbequistão. Você pode estar se perguntando como alguns especialistas em segurança sabem muitos detalhes sobre a base de usuários de uma plataforma de e-learning. Infelizmente, eles encontraram as informações em um banco de dados desprotegido.

Outro dia, outro banco de dados exposto

Como alguns de vocês devem saber, Rotem e Locar lideram uma equipe de pesquisadores que trabalham para o VPNMentor. Nos últimos meses, eles vêm trabalhando em um projeto maciço de mapeamento da web com o objetivo de melhorar a segurança geral dos dados. No processo, no entanto, eles mostraram como é fácil expor gigabytes de informações privadas.

Os provedores de serviços cometem vários erros e um dos mais comuns é deixar um banco de dados cheio de dados pessoais dos usuários em um bucket do Amazon Web Service S3 acessível ao público. Eles geralmente esquecem de proteger o balde com uma senha e, no processo, o expõem inadvertidamente a qualquer pessoa com conexão à Internet. Muitas empresas fizeram isso e, em meados de abril, os pesquisadores da VPNMentor descobriram que a 8Belts havia se juntado ao clube.

8Belts coloca um banco de dados de produção em um bucket de armazenamento S3 público

Ao encontrar o banco de dados, os especialistas viram que alguns dos registros datavam de 2017, mas enquanto tentavam descobrir quem é o proprietário, viram que as informações estavam sendo adicionadas em tempo real. Em outras palavras, era um banco de dados de produção ativo que estava coletando os detalhes dos novos usuários do 8Belts. Havia muitos detalhes também.

Em um dos arquivos do CVS, os especialistas viram os registros de nada menos que 150 mil usuários do 8Belts. Cada registro continha os seguintes detalhes:

• Nomes
• Endereço de e-mail
• Número de telefone
• País de residência
• Data de nascimento

Infelizmente, outros arquivos no intervalo continham dados ainda mais confidenciais, incluindo os números de ID nacional de alunos e mentores.

A violação poderia ter consequências terríveis para a 8Belts e seus clientes

Você já pode ver que a plataforma espanhola de e-learning estava vazando muitas informações de identificação pessoal, e o que os pesquisadores descreveram como "um lapso significativo nos protocolos de segurança da 8Belts" poderia ter resultado em muitos casos de roubo de identidade. Infelizmente, isso não foi tudo.

Em seu site, a 8Belts se orgulha de oferecer cursos de língua estrangeira aos funcionários de várias grandes empresas de renome mundial. Entre seus parceiros, você encontrará empresas como Huawei, Deloitte, PricewaterhouseCoopers, Santander, etc. Com certeza, os dados pessoais dos funcionários dessas empresas também estavam no banco de dados da 8Belts. Isso não apenas expôs os próprios funcionários, mas também poderia colocar em risco os clientes da plataforma de aprendizado.

Além disso, a equipe do VPNMentor descobriu os logs do servidor que revelavam como alguns dos sistemas de back-end da 8Belts funcionam. Essas informações podem ter ajudado os cibercriminosos a invadir a própria plataforma de aprendizado on-line, causando uma quantidade incalculável de danos.

O balde com vazamento foi silenciosamente retirado do modo offline

Poucos dias depois de descobrir as informações expostas, os pesquisadores tentaram entrar em contato com a 8Belts para divulgar a violação e oferecer mais assistência. Enquanto aguardavam uma resposta, eles também entraram em contato com a Amazon e informaram o provedor de armazenamento das informações expostas. No final, eles não receberam uma resposta, mas, quando verificaram algumas semanas depois, descobriram que o banco de dados havia sido colocado offline. Embora o VPNMentor tenha publicado seu relatório há alguns dias, a 8Belts ainda não ofereceu nada que se assemelhasse a uma declaração oficial.

De fato, como é o caso de muitos vazamentos semelhantes, não vimos nenhuma evidência de uso indevido dos dados expostos, mas isso nunca deve ser uma razão para ignorar o problema ou fingir que não aconteceu. Pelo contrário, a descoberta deve servir como um incentivo para a 8Belts mostrar aos seus clientes que está determinado a não deixar isso acontecer novamente.