(Entrega em Mãos por MBS)
Imagine uma noite você entrando numa cervejaria e escolhendo entre 82 cervejas artesanais premium para um porre astronômico — e totalmente por conta da casa? Parece promoção maluca de rede social ou roteiro do próximo “Se Beber Não Case”, mas neste caso, é irresponsabilidade mesmo: uma brecha no app da fabricante escocesa BrewDog permitia abusar de uma vulnerabilidade que conferia cerveja de graça.
A falha foi descoberta pelo grupo PenTestPartners, contratado para avaliar a segurança do código do app. Segundo os testadores, uma brecha no gerador de QR codes, usado para emitir vales-cerveja gratuitos a acionistas aniversariantes, poderia ser utilizado indefinidamente para hackers encherem a cara nas contas da BrewDog. O código era explorável durante três dias antes e depois da data de aniversário.
(Entrega em Mãos por MBS)
Na prática, isso acontecia por um descuido na configuração do app. O programa utilizava o mesmo Bearer Token — uma linha de código de autenticação — para todas as contas.
“Geralmente, há um processo de autenticação onde um usuário envia suas credenciais, e uma Bearer Token é devolvida na qual permite acesso aos pontos finais no contexto daquele usuário”, afirmam os testadores. O contexto, no caso do app da BrewDog, é o código para o QR code.
(Entrega em Mãos por MBS)
Os testes indicaram que a falha estava disponível desde março de 2020, e a cervejaria informa não encontrar provas de abuso da vulnerabilidade. Para os testadores de segurança, isso não é o bastante.
“Enquanto a BrewDog diz que não consegue encontrar nenhuma evidência disso [o abuso], não temos certeza de como eles iriam validar isso: cada solicitação estaria vindo de uma conta válida, com uma Bearer Token válida (porém idêntica!). Logo, como eles iriam provar que a solicitação veio do usuário válido e não de pessoas desconhecidas?”, afirmam.
- Gostou da Matéria Ajude No Banner - Click -
Cerveja de graça, e dados pessoais de aperitivo
Na prática, a cerveja de graça ainda é a menor dos problemas do incidente hacker. Para a BrewDog, o problema vêm servido de um altíssimo risco de brecha de dados. A mesma configuração do Bearer Token fazia com que todos os clientes que cederam informações pessoas à cervejaria — incluindo 200 mil acionistas — estivessem expostos.
“Um atacante poderia realizar uma força bruta para apreender as identidades dos clientes e baixar toda a base de dados dos clientes”, afirmam os pentesters. “Isso não só poderia identificar os acionistas com maior parcela de propriedade, juntamente a seus endereços pessoais, mas também poderia gerar QR codes de descontos para a vida toda!”A BrewDog não emitiu comentários sobre a situação e tampouco informou oficialmente seus clientes da brecha. A empresa precisou lançar quatro novas atualizações até que a falha nos QR codes deixasse de conceder cerveja de graça a hackers espertinhos.
- Gostou da Matéria Ajude No Banner - Click -
(Entrega em Todo Brasil via Magazine Luiza)
PROMOÇÃO DE HOJE DA MAGAZINE DA PESCWEB
IMPORTANTE: fique atento à data de publicação desta matéria, pois todos os preços e promoções estão sujeitos à disponibilidade de estoque e duração da oferta. Alterações de preço podem ocorrer a qualquer momento, sem aviso do varejista. O preço ou valor total do produto poderá ser alterado de acordo com a localidade, considerando frete e possíveis impostos interestaduais. Os produtos exibidos aqui foram selecionados pela Magazine PescWeb. Logo, se você comprar algo, a Magazine PescWeb pode receber alguma comissão de venda.
- Gostou da Matéria Ajude No Banner - Click -
por Olhar Digital
0 Comentários