Vazamentos de senhas expõem dados de sistemas do Ministério da Saúde

Recentemente o Estadão publicou uma série de matérias abordando dois vazamentos de senhas que expuseram dados de sistemas do Ministério da Saúde. Um dos especialistas entrevistados é o @julianomadalena!

Nota técnica: em ambos os casos, o software que armazenava os dados era o Elastic Search; ele não é um sistema inseguro (já utilizei e acho bem robusto sobre diversos aspectos); os problemas aconteceram, na minha visão, por falha humana que decorreu de falta de protocolos rígidos de segurança para acesso a dados sensíveis.

O Primeiro Vazamento

O primeiro vazamento de senhas ocorreu por parte de um funcionário do Hospital Albert Einstein que trabalhava em um projeto conjunto com o Ministério. O funcionário, descuidadamente, subiu uma planilha com as senhas a um repositório de código público no GitHub.
Essas senhas permitiam acessar o sistema Elastic Search (um software que armazena e busca dados, em geral usado como motor de busca interno de outros softwares) que continha dados de resultados de testes (juntamente com os dados pessoais) e dados de internações (até com parte do prontuário) de aproximadamente 16 milhões de pessoas.
O Ministério trocou todas as senhas vazadas e o repositório no GitHub foi deletado.

O Segundo Vazamento

O segundo vazamento foi decorrente de uma falha de segurança no software e-SUS Notifica, sistema utilizado por pessoas responsáveis por notificar ao Ministério os casos de COVID-19.
Ao que tudo indica, o sistema e-SUS Notifica acessava uma base de dados (também Elastic Search, mas diferente da base do primeiro vazamento) para obter dados pessoais a partir de um CPF (provavelmente isso era feito para ajudar aos notificadores, de modo a não precisarem preencher todos os dados depois de digitarem o CPF).
O problema: a senha para acesso a esse sistema estava no código JavaScript que compreende o front-end do e-SUS Notifica. O código do front-end é composto pelas linguagens HTML, CSS e JavaScript e pode ser acessado por qualquer pessoa que visite um site (e isso é verdade para qualquer site). Para que a senha ficasse protegida, o ideal seria armazenar a senha e fazer o acesso ao Elastic Search através do backend (software que roda no servidor do site e que não é compartilhado com os visitantes). Mesmo quem entrasse na página inicial do sistema (sem estar autenticado) teria acesso ao código do front-end com a senha.
O Ministério da Saúde informou que trocou a senha, porém (chequei agora há pouco) a senha antiga continua disponível no frontend do sistema (resolveram o problema, mas deixaram o vestígio de que o problema ocorreu no código).

Links para as Matérias

4 Curtidas

Update na matéria:

1 Curtida

A Câmara dos Deputados fez uma comissão extrena sobre o caso. A gravação está disponível em: https://www.camara.leg.br/evento-legislativo/60170

1 Curtida