Má configuração do Firebase leva à exfiltração de mais de 125 milhões de registos

A má configuração do Google Firebase levou à exfiltração de milhões de registos de utilizadores. O caso foi reportado depois da invasão do Chattr, o sistema de contratação de inteligência artificial que fornece várias empresas nos EUA, incluindo conhecidas cadeias de fast food. 

Uma falha na implementação no Firebase do Chattr permitiu a um grupo de investigadores de segurança obterem privilégios ao nível do banco de dados através do registo de um novo utilizador. Em causa está o acesso a nomes, números de telefone, endereços de email, senhas de texto simples e até mensagens confidenciais. Entre os utilizadores impactados encontram-se funcionários, gerentes e candidatos a cargos nestas empresas.

Foi ainda descoberto um modo “fantasma”, que fornecia o acesso a informações de faturação, controlo de contas de utilizadores e a opção de contratar pessoas.

Os investigadores identificaram outras aplicações da web que expunham informações confidenciais através de instâncias do Firebase mal configuradas, com informações de 125 milhões de utilizadores expostas em 900 sites. Entre a informação exposta contavam-se mais de 80 milhões de nomes, mais de 100 milhões de endereços de email, mais de 33 milhões de números de telefone e mais de 20 milhões de senhas.