Fornecedor de SMS letão expôs 125 milhões de mensagens com códigos de acesso

A filial letã da CSCTelecom, uma empresa que envia SMS em nome de outras empresas, deixou aberta na internet uma base de dados com mais de 125 milhões de mensagens. Segundo o Cybernews, a 11 de novembro, as mensagens vão de outubro de 2022 a setembro de 2026 e incluem códigos de acesso de utilização única, ligações para redefinir palavras-passe, alertas bancários e dados de voos enviados a pessoas na Letónia, Lituânia e Estónia. A base era atualizada em tempo real: quem a vigiasse via um código no mesmo momento em que chegava ao telemóvel do destinatário.

O que havia nas mensagens

A base corria em ClickHouse e guardava o texto completo de cada mensagem, o nome da empresa remetente, a hora de envio, o preço de cada SMS e dados de encaminhamento da rede móvel. O Cybernews enumera códigos de autenticação, palavras-passe temporárias, resultados de análises médicas, dados de reservas, avisos de entrega com nomes e moradas, datas de viagem e notificações de operações bancárias.

As mensagens do Swedbank mostravam números de conta IBAN, montantes, destinatários, saldos e, por vezes, a loja da compra. As da seguradora ERGO continham números de documentos, matrículas e valores de faturas. Os registos ligados ao 112 mostravam números de telefone e pormenores dos casos. As mensagens da airBaltic incluíam dados de voos e apelidos de passageiros, e o serviço de partilha de carros CityBee e a cadeia de supermercados lituana IKI enviavam códigos de acesso por este gateway.

A lista de remetentes inclui ainda as seguradoras Compensa e Artea, a Porsche, o supermercado online Barbora, a EuroCash, a DEPO, os centros comerciais Akropolis, a PerlasGo, a Autoplius e dois prestadores de saúde lituanos. A LRT acrescenta que entre as mensagens da EuroCash1 havia alertas de segurança sobre instalações vigiadas e multibancos.

Porque os códigos por SMS são o ponto fraco

O mais perigoso é o fluxo em direto de códigos de utilização única. Um atacante que já tivesse a palavra-passe de alguém e vigiasse a base podia introduzir o código ou abrir a ligação de redefinição antes de o verdadeiro utilizador olhar para o telemóvel. Quatro anos de histórico permitem ainda traçar o perfil do titular de um número: que banco usa, onde compra, quando viaja e quanto gasta.

Voldemaras Kadys, responsável de segurança e engenharia de plataforma na Mediatech, dona do Cybernews, disse à LRT que, mesmo sem o texto das mensagens, saber a que serviços um número está associado chega para uma fraude dirigida. Um SMS falso que parece vir do seu banco ou da sua companhia aérea é muito mais convincente. Segundo ele, o caso levanta também dúvidas sobre o cumprimento do RGPD, que obriga a guardar dados pessoais apenas durante o tempo necessário.

O que dizem as empresas

A CSCTelecom não tinha respondido ao Cybernews até à publicação. O SEB Latvia afirmou usar a CSCTelecom apenas «de forma limitada» para publicidade a fundos de pensões, enviar informação sensível por outros canais e não ter sido informado do incidente pelo fornecedor. A airBaltic disse estar a avaliar a situação com o fornecedor e que é cedo para dizer quantos clientes foram afetados. A companhia aconselha desconfiança perante mensagens, emails e chamadas em seu nome que apressem, tragam ligações ou peçam dados pessoais. A PerlasGo disse também estar a avaliar a situação.

O que fazer se vive nos países bálticos

• Se nos últimos quatro anos recebeu SMS de alguma destas empresas, parta do princípio de que o seu número e os serviços associados são conhecidos por outros.
• No banco e no email, troque os códigos por SMS por uma aplicação de autenticação ou pela confirmação na app, se o serviço o permitir.
• Mude as palavras-passe das contas que usavam códigos ou ligações de redefinição por SMS.
• Desconfie de chamadas e mensagens que mencionem os seus voos, encomendas, consultas médicas ou transferências, e confirme-as na app ou no site oficial.