Um teste de penetração em uma grande empresa do setor de tabaco revelou uma falha de segurança alarmante: receitas de produtos confidenciais estavam acessíveis em um compartilhamento de rede sem restrições. O profissional de segurança Dahvid Schloss, contratado para identificar vulnerabilidades, deparou-se com uma pasta denominada "confidential" que continha arquivos com nomes como "receita", "nome do produto", "subproduto" e "data". Ao abrir um desses arquivos, Schloss constatou que ele detalhava o processo de fabricação de um produto de tabaco específico, incluindo o peso, volume e a percentagem de cada componente químico. Esses documentos eram claramente marcados como "Confidencial" e "Não compartilhar".
A falha na proteção de dados
A descoberta ocorreu durante uma varredura da rede utilizando ferramentas comuns de teste de segurança, como Metasploit e Nmap. Schloss notou a ausência de alertas do antivírus corporativo, apesar de estar utilizando métodos de varredura considerados "barulhentos". O compartilhamento de arquivos em questão utilizava os protocolos SMB (portas 139 e 445), comuns em ambientes Windows, e estava acessível a todos os funcionários da empresa, sem qualquer controle de autenticação ou autorização. A falta de segmentação de rede e de políticas de acesso rigorosas permitiu que informações de extrema sensibilidade, como detalhes de formulação de produtos, ficassem expostas a um grande número de pessoas dentro da organização, aumentando drasticamente o risco de vazamento e uso indevido.
Negação e remoção
Após a descoberta, Schloss notificou a equipe de segurança da tabacaria. A reação inicial da empresa, no entanto, foi de negação veemente. Eles afirmaram que os arquivos encontrados não eram reais e que não havia qualquer problema de segurança. Essa postura defensiva se manteve por cerca de um ano, durante o qual Schloss não pôde apresentar evidências concretas, pois foi instruído a apagar o arquivo baixado como parte do protocolo de segurança do teste. Curiosamente, ao verificar a pasta novamente ao final do engajamento, Schloss constatou que os arquivos haviam sido removidos ou movidos, indicando que, apesar da negação pública, a empresa agiu para corrigir a exposição.
Implicações de segurança e corporativas
O caso levanta sérias questões sobre a gestão de dados sensíveis em empresas, especialmente aquelas que lidam com segredos industriais. A exposição de receitas e processos de fabricação pode ter consequências devastadoras, incluindo a perda de vantagem competitiva, danos à reputação e potenciais litígios. A negação inicial da empresa, seguida pela remoção dos arquivos, sugere uma tentativa de encobrir a falha de segurança em vez de abordá-la de forma transparente e proativa. Isso pode minar a confiança de clientes, parceiros e reguladores.
Perguntas em aberto
As implicações desse incidente vão além da falha técnica. Restam dúvidas sobre a extensão total do acesso não autorizado e se outras informações confidenciais também estavam expostas. A resposta da empresa, apesar de ter eventualmente removido os arquivos, levanta preocupações sobre a cultura de segurança interna e a disposição em admitir e corrigir vulnerabilidades. A falta de uma resposta transparente pode indicar um risco contínuo para a organização e para o setor como um todo.
Com reportagem de Brazil Valley
Source · The Register
