Mercado fechará em 5 h 57 min
  • BOVESPA

    120.821,66
    +901,05 (+0,75%)
     
  • MERVAL

    38.390,84
    +233,89 (+0,61%)
     
  • MXX

    49.326,13
    +391,22 (+0,80%)
     
  • PETROLEO CRU

    64,94
    +0,23 (+0,36%)
     
  • OURO

    1.837,90
    +22,20 (+1,22%)
     
  • BTC-USD

    57.201,46
    -140,49 (-0,25%)
     
  • CMC Crypto 200

    1.512,73
    +76,94 (+5,36%)
     
  • S&P500

    4.223,93
    +22,31 (+0,53%)
     
  • DOW JONES

    34.664,08
    +115,55 (+0,33%)
     
  • FTSE

    7.133,29
    +57,12 (+0,81%)
     
  • HANG SENG

    28.610,65
    -26,81 (-0,09%)
     
  • NIKKEI

    29.357,82
    +26,45 (+0,09%)
     
  • NASDAQ

    13.742,00
    +144,25 (+1,06%)
     
  • BATS 1000 Index

    0,0000
    0,0000 (0,00%)
     
  • EURO/R$

    6,3482
    -0,0184 (-0,29%)
     

Fiocruz corrige falha cibernética que poderia afetar pesquisas contra a COVID-19

Ramon de Souza
·2 minuto de leitura

O Canaltech recebeu, na tarde desta terça-feira (13), um laudo técnico de uma falha gravíssima que existia nos sistemas da Fundação Oswaldo Cruz (Fiocruz), instituição que está trabalhando em vacinas contra a COVID-19 com insumos da Oxford e da AstraZeneca. O documento, enviado por uma fonte anônima conhecida simplesmente como “Hacker do Bem”, revela que a vulnerabilidade poderia ser explorada para conseguir informações confidenciais sobre o imunizante e até atrapalhar a sua produção.

O relatório ao qual o Canaltech teve acesso foi exatamente o mesmo que a Fiocruz recebeu do pesquisador misterioso — segundo ele, o órgão foi veloz em corrigir os problemas, mas não é possível garantir que o bug não tenha sido explorado por atores maliciosos até ser consertado. De qualquer maneira, tudo começa com o fato de que um servidor da fundação estava aberto, podendo ser rastreado na web e levando o criminoso ao sistema interno de gerenciamento de vacinas (criado com base na plataforma MongoDB).

O banco de dados estava protegido com sistemas de segurança e um firewall, mas eles eram insuficientes e qualquer atacante com um nível mediano de conhecimento conseguiria transpô-los usando técnicas chamadas “bypass”. A partir daí, bastaria fazer a festa: ver estatísticas sobre os freezers que armazenam os imunizantes, desligá-los, desconfigurá-los e até mesmo apagar os controles criados para alertar os cientistas caso hajam variações de temperatura no ambiente de armazenagem que possam estragar os insumos.

<em>Controle de freezers e estufas da Fiocruz (Imagem: Reprodução/Hacker do Bem)</em>
Controle de freezers e estufas da Fiocruz (Imagem: Reprodução/Hacker do Bem)

Por fim, a base também inclui credenciais de colaboradores — estas estavam criptografadas, mas o hash e a chave secreta (arquivos necessários para decifrar as senhas) estavam armazenadas no mesmo lugar. Até mesmo e-mails, com suas devidas passwords, faziam parte da exposição.

Vidas em risco

Como já citamos anteriormente, a Fiocruz foi ágil em corrigir as vulnerabilidades apontadas pelo pesquisador. Aparentemente, elas não foram exploradas por ninguém, mas é preocupante imaginar o tamanho do estrago que poderia ser causado caso um ator malicioso abusasse das falhas. Afinal, o que não faltam são notícias a respeito da atuação de grupos de hackers estatais (ou seja, patrocinados por governos) tentando atrapalhar ou espionar a produção de vacinas contra a COVID-19 de outros países.

<em>Listagem de informações pessoais de colaboradores (Imagem: Reprodução/Hacker do Bem)</em>
Listagem de informações pessoais de colaboradores (Imagem: Reprodução/Hacker do Bem)

Com tais brechas, um grupo de ameaça persistente avançada (advanced persistent threat ou APT) seria capaz de obter dados confidenciais a respeito dos imunizantes brasileiros e até mesmo — em uma situação mais grave — estragar um carregamento inteiro de insumos ao desconfigurar os freezers que armazenam a matéria-prima. Isso causaria atrasos nas pesquisas e nos envases das doses que a Fiocruz entrega, impactando diretamente a população brasileira.

Fonte: Canaltech

Trending no Canaltech: