Uma base de dados contendo informações de 19.323 contas da HopCharge, uma startup indiana que oferece recarga de veículos elétricos sob demanda, teria sido publicada gratuitamente em um fórum na dark web. A alegação, feita por um usuário autointitulado "GoreTerminal", inclui dados como nomes completos, telefones, e-mails, endereços de IP e, crucialmente, coordenadas de geolocalização.

Segundo a reportagem do DarkWebInformer, que monitorou a publicação, o arquivo não parece ser uma tabela de clientes tradicional, mas sim uma exportação de eventos de uma plataforma de product analytics. Esta distinção é fundamental: em vez de dados cadastrais estáticos, o vazamento conteria um registro do comportamento dos usuários, incluindo gastos, número de reservas e locais salvos. A tese é que a vulnerabilidade pode não estar na aplicação da HopCharge, mas em um serviço de terceiro mal configurado.

O risco nos bastidores

A natureza do dado supostamente vazado é o que torna o incidente um estudo de caso sobre riscos modernos. Enquanto um banco de dados de clientes informa quem é o usuário, um export de analytics revela o que ele faz. Para um serviço como a HopCharge, que envia vans de recarga até o cliente, as coordenadas de latitude e longitude correspondem, na prática, ao endereço de casa ou do trabalho do usuário, atrelando sua identidade a um local físico com alta precisão.

O formato dos dados, descrito como uma exportação padrão, sugere que a origem do vazamento pode ser um projeto de analytics exposto, e não uma invasão direta aos servidores da companhia. Esta é uma vulnerabilidade comum e frequentemente subestimada. Empresas investem na segurança de suas bases de dados primárias, mas podem negligenciar a proteção dos dados que são enviados a plataformas de terceiros para análise de produto e marketing, criando um elo fraco na cadeia de segurança.

Inconsistências e o alerta universal

É importante notar que a alegação ainda não foi verificada. O próprio DarkWebInformer aponta inconsistências que colocam a veracidade do vazamento em xeque. Uma amostra dos dados é datada de 2021 e descreve um usuário nos Estados Unidos, o que contradiz o foco operacional da HopCharge na Índia. Além disso, o perfil do hacker é novo e sem reputação estabelecida no fórum.

Verificado ou não, o episódio serve de alerta. O método descrito é plausível e expõe uma superfície de ataque relevante para inúmeras startups que dependem de modelos de negócio baseados em geolocalização — um ecossistema vasto no Brasil, por exemplo. A facilidade com que dados comportamentais podem ser cruzados para identificar e rankear clientes por valor ou para engenharia social em tentativas de fraude é um risco concreto.

O caso da HopCharge força uma reflexão sobre a real soberania das empresas sobre os dados de seus clientes. A proteção da porta de entrada do aplicativo se torna inócua se a porta dos fundos — a plataforma de analytics — estiver aberta. A questão que fica não é apenas se o vazamento ocorreu, mas quantas outras empresas operam com vulnerabilidades semelhantes sem saber.

Com reportagem de Brazil Valley

Source · DarkWebInformer