Informações estão circulando nas redes sociais sobre um possível hackeamento e vazamento de dados pessoais de 27 milhões de cidadãos do Uzbequistão para a darknet. De acordo com os relatos, a base de dados comprometida pode conter informações como nomes e sobrenomes, números de telefone, PINFL, endereços de residência, dados de passaporte e fotografias biométricas.
Como ilustração, os invasores publicaram informações pessoais do ministro das tecnologias digitais.
Os invasores declararam que, se suas exigências não forem atendidas até as 08:00 de 2 de novembro, o arquivo com esses dados será colocado à venda pública.
Neste contexto, o blogueiro Umid Gafurov compartilhou a história de um programador que descobriu uma vulnerabilidade séria no final de setembro em um recurso de um dos ministérios do país. Essa vulnerabilidade foi avaliada com um nível de 8,6 em 10 na escala CVSS. Devido a esse erro, qualquer usuário poderia acessar os dados de aproximadamente 40 milhões de pessoas sem necessidade de autenticação ou observância de limites, abrangendo quase toda a população do Uzbequistão e estrangeiros registrados no país.
Informações confidenciais como nome completo, fotografias, datas de nascimento, bem como séries e números de cartões de identidade, passaportes estrangeiros e certidões de nascimento, PINFL, informações sobre instituições de ensino e endereços de registro com números cadastrais, ficaram disponíveis publicamente.
As tentativas do desenvolvedor de notificar o departamento encontraram resistência. No call center do ministério, ele recebeu a resposta: 'Você é tipo hacker? Venha ao escritório, eu mostro que está tudo normal'. No entanto, quando o programador conseguiu entrar em contato com especialistas relevantes por outro canal oficial e apresentar pessoalmente o problema em uma reunião no departamento, foi informado que o erro era conhecido, mas não era considerado prioritário, citando verificações de segurança recentes.
Cinco dias depois, a vulnerabilidade permaneceu sem ser corrigida, e o especialista transmitiu a informação ao Centro de Cibersegurança do Uzbequistão no âmbito do procedimento de divulgação responsável. Ele observou que este centro não possui um mecanismo online conveniente para denúncias anônimas; os pedidos são recebidos via Telegram, por telefone ou pessoalmente no escritório. Além disso, o departamento não oferece recompensa por erros descobertos, limitando-se a uma carta de agradecimento mediante solicitação, e não garante prazos para correção de falhas, apenas enviando notificações oficiais às estruturas competentes.
O problema na plataforma do ministério só foi corrigido oito dias após o contato com o Centro de Cibersegurança, e inicialmente, a correção foi apenas parcial. Os funcionários do centro pediram ao programador que confirmasse por conta própria que o departamento realmente havia fechado o acesso aos dados, além de alertá-lo sobre a proibição de cobertura pública de tais incidentes devido à imperfeição da base legislativa.
De acordo com a avaliação preliminar do desenvolvedor, se o banco de dados contendo informações de 40 milhões de pessoas cair nas mãos de golpistas, o dano financeiro potencial decorrente de empréstimos ilegais e outros abusos pode chegar a cerca de 50 dólares por pessoa, totalizando 2 bilhões de dólares em escala nacional.
Deve-se também mencionar que há relatos no Uzbequistão sobre um possível vazamento de dados pessoais de usuários da plataforma SAFE Service, anteriormente conhecida como Safe Road.
