As Informações Pessoais de 100 Milhões de Clientes do JustDial Vazaram
As informações de conta privada de 100 milhões de usuários do JustDial, provedor de busca local baseado na Índia, vazaram online. O banco de dados desprotegido contém informações pessoalmente identificáveis que estão sendo atualizadas em tempo real, de acordo com o pesquisador independente Rajshekhar Rajaharia, que descobriu a violação de dados pela primeira vez. O Sr. Rajaharia tentou entrar em contato com a JustDial sobre a API insegura que permitia o acesso aos dados dos clientes, mas depois de esperar por 5 dias e não receber resposta, ele decidiu abrir o capital.
Aparentemente, todos os usuários de JustDial foram afetados pelo vazamento, independentemente de como acessaram o serviço - através do aplicativo móvel, do site ou usando o número de telefone do suporte ao cliente. Na verdade, cerca de 70% das informações no banco de dados foram coletadas de pessoas que ligaram para o número "8888 8888" do JustDial. A violação é bastante grave devido à grande quantidade de detalhes que podem ter sido vistos por terceiros não autorizados, pois nomes, números de celular, e-mails, endereços residenciais, sexo, data de nascimento, fotos, ocupação e muito mais.
O pesquisador independente descobriu o banco de dados com as informações por meio de uma API antiga que não está mais sendo usada pelo JustDial, mas que foi deixada no servidor. A API em questão parece não ter sido atualizada desde meados de 2015, portanto, a violação de segurança pode estar ativa há quase quatro anos. Havia outras APIs antigas e desprotegidas, uma das quais poderia ser usada para acionar solicitações de desativação para todos os números registrados, enviando spam para os clientes afetados com e-mails e criando mais problemas para a JustDial.
Empresa Nega Violação de Segurança
A JustDial divulgou uma declaração que refutou as notícias sobre vazamento de informações de seus clientes, dizendo que todas as informações financeiras e senhas de contas são armazenadas em um formato de criptografia dupla. Além disso, a empresa esclareceu que a antiga lacuna da API foi corrigida enquanto as versões mais recentes do aplicativo não contêm a vulnerabilidade: "Esta vulnerabilidade existente nas plataformas de aplicativos mais antigas também está corrigida. Versões mais recentes (atuais) do aplicativo em que a maioria os usuários estão disponíveis não têm a vulnerabilidade acima. " A JustDial também afirmou que uma auditoria técnica independente será realizada para procurar quaisquer vulnerabilidades existentes.