Os dados de viajantes que utilizavam Wi-Fi gratuito em várias estações de trem no Reino Unido podiam ser visualizados on-line por meio de um banco de dados não protegido, informou a BBC.
Endereços de e-mail e detalhes de viagem de cerca de 10.000 pessoas foram expostos on-line. O banco de dados, encontrado por um pesquisador de segurança, também continha 146 milhões de registros, incluindo detalhes pessoais de contato e datas de nascimento.
Os dados foram pesquisáveis por nome de usuário. Isso permitiria seguir o comportamento de viagem de cada viajante.
O banco de dados continha informações do período entre 28 de novembro de 2019 e 12 de fevereiro de 2020.
As estações de trem onde os passageiros foram expostos são Harlow Mill, Chelmsford, Colchester, Waltham Cross, Burnham, Norwich e London Bridge.
A Network Rail e o provedor de serviços C3UK confirmaram o incidente. O provedor de WiFi C3UK agora colocou o banco de dados offline e disse que não tem motivos para acreditar que outra pessoa tenha visto os dados. Não havia senhas de proteção no banco de dados.
Segundo a BBC, o C3UK disse que protegeu o banco de dados exposto assim que o pesquisador de segurança Jeremiah Fowler, da Security Discovery, chamou a atenção deles.
“Até onde sabemos, esse banco de dados foi acessado apenas por nós mesmos e pela empresa de segurança e nenhuma informação foi disponibilizada ao público”, afirmou o provedor C3UK.
“Como o banco de dados não contém senhas ou outros dados críticos, como informações financeiras, isso foi identificado como uma vulnerabilidade potencial de baixo risco”, concluiu o provedor.
Brecha fechada
Mas Fowler disse que, com base no que ele viu, parecia ser pesquisável por nome de usuário, o que significa que os padrões regulares de viagem das pessoas podiam ser pesquisados ao rastrear, quando eles acessavam o wi-fi de cada estação.
Ele encontrou o banco de dados no armazenamento não seguro de serviços da web da Amazon.
O banco de dados – criado entre 28 de novembro de 2019 e 12 de fevereiro de 2020 – também revelou atualizações de software e o tipo de software que está sendo usado pelos dispositivos conectados ao wi-fi, disse ele.
“Isso pode fornecer um caminho secundário para a [instalação de] malware”, disse Fowler.
“Quando você vê essa informação, está correndo contra o relógio para fechar a brecha”, disse ele.
Fowler entrou em contato com o C3UK em 14 de fevereiro para informar o ocorrido.
O C3UK disse que os dados não foram roubados ou acessados por nenhuma outra parte.
Evitar riscos
Redes Wi-Fi gratuitas podem ser desprotegidas ou podem ser armadilhas de criminosos para capturar informações em aeroportos e outros pontos de afluência de viajantes.
Viajantes devem evitem conectar seu telefone, tablet ou computador a pontos de acesso sem fio gratuitos.
O uso de wi-fi gratuito é um convite aberto a criminosos para acessar seu dispositivo. Eles podem carregar malware, roubar suas senhas e PINs ou até assumir o controle remoto de seus contatos e câmera.
Se não houver outra opção, é recomendado que se use a rede Wi-Fi pública de um hotel ou aeroporto, mas seguindo as etapas de conexão do provedor para evitar quaisquer pontos de acesso configurados por ‘pessoas’ mal-intencionados. Isso significa que nesses locais o acesso é feito em geral por meio de um formulário onde o visitante cadastra um mínimo de dados, geralmente apenas o seu endereço de e-mail.
Quando alguém precisa usar um ponto de acesso gratuito e sem garantia, pode tomar uma medida simples para proteger informações confidenciais enquanto estiver conectado a um Wi-Fi público, usando um serviço de rede virtual privada (VPN) que criptografa seus dados, impossibilitando os invasores de visualizarem seu tráfego na Internet.
Também é recomendado desativar os serviços de localização dos dispositivos e não compartilhar nenhuma informação sobre as viagens. Isso evita que os criminosos descubram que a pessoa não está em casa, podendo utilizar essa informação para outro crime.
Outra medida de segurança para se proteger, mas agora em casa, é configurar e proteger dispositivos da Internet das Coisas (IoT) e TVs inteligentes adequadamente contra possíveis invasores, utilizando senhas. Pois, dispositivos não seguros podem permitir que hackers tenham acesso ao roteador, dando ao bandido acesso a tudo da rede doméstica.