Recentemente o Estadão publicou uma série de matérias abordando dois vazamentos de senhas que expuseram dados de sistemas do Ministério da Saúde. Um dos especialistas entrevistados é o @julianomadalena!
Nota técnica: em ambos os casos, o software que armazenava os dados era o Elastic Search; ele não é um sistema inseguro (já utilizei e acho bem robusto sobre diversos aspectos); os problemas aconteceram, na minha visão, por falha humana que decorreu de falta de protocolos rígidos de segurança para acesso a dados sensíveis.
O Primeiro Vazamento
O primeiro vazamento de senhas ocorreu por parte de um funcionário do Hospital Albert Einstein que trabalhava em um projeto conjunto com o Ministério. O funcionário, descuidadamente, subiu uma planilha com as senhas a um repositório de código público no GitHub.
Essas senhas permitiam acessar o sistema Elastic Search (um software que armazena e busca dados, em geral usado como motor de busca interno de outros softwares) que continha dados de resultados de testes (juntamente com os dados pessoais) e dados de internações (até com parte do prontuário) de aproximadamente 16 milhões de pessoas.
O Ministério trocou todas as senhas vazadas e o repositório no GitHub foi deletado.
O Segundo Vazamento
O segundo vazamento foi decorrente de uma falha de segurança no software e-SUS Notifica, sistema utilizado por pessoas responsáveis por notificar ao Ministério os casos de COVID-19.
Ao que tudo indica, o sistema e-SUS Notifica acessava uma base de dados (também Elastic Search, mas diferente da base do primeiro vazamento) para obter dados pessoais a partir de um CPF (provavelmente isso era feito para ajudar aos notificadores, de modo a não precisarem preencher todos os dados depois de digitarem o CPF).
O problema: a senha para acesso a esse sistema estava no código JavaScript que compreende o front-end do e-SUS Notifica. O código do front-end é composto pelas linguagens HTML, CSS e JavaScript e pode ser acessado por qualquer pessoa que visite um site (e isso é verdade para qualquer site). Para que a senha ficasse protegida, o ideal seria armazenar a senha e fazer o acesso ao Elastic Search através do backend (software que roda no servidor do site e que não é compartilhado com os visitantes). Mesmo quem entrasse na página inicial do sistema (sem estar autenticado) teria acesso ao código do front-end com a senha.
O Ministério da Saúde informou que trocou a senha, porém (chequei agora há pouco) a senha antiga continua disponível no frontend do sistema (resolveram o problema, mas deixaram o vestígio de que o problema ocorreu no código).
Links para as Matérias
- (26/11/2020 05:00) Vazamento de senha do Ministério da Saúde expõe dados de 16 milhões de pacientes de covid
- (26/11/2020 18:31) ‘Maior vazamento de dados sensíveis do País’, diz especialista sobre exposição de pacientes de covid
- (27/11/2020 05:00) Ministério da Saúde foi alertado em junho por ONG sobre outra exposição indevida de dados
- (27/11/2020 15:22) Idec pede ao MPF que investigue vazamento de dados da saúde; deputado aciona TCU
- (02/12/2020 05:00) Nova falha do Ministério da Saúde expõe dados pessoais de mais de 200 milhões de brasileiros
- (02/12/2020 05:00) Análise: Contratações do governo não seguem princípios de prevenção e segurança de dados
- (02/12/2020 17:18) Lula ‘pingaiada’ e ‘petista sfda’: dados vazados da Saúde tinham ofensas a artistas e políticos