Banco de dados operador móvel tailandês expostos 8 bilhões de registros da Internet

Confiamos implicitamente em nossos ISPs e operadoras, muitas vezes sem pensar duas vezes que toda a nossa atividade relacionada à Internet passa por eles. Afinal, eles são obrigados por leis para garantir a segurança e a privacidade de seus clientes, embora alguns ainda consigam encontrar maneiras de contornar isso. Mesmo empresas bem-intencionadas, no entanto, não são infalíveis e mesmo um único cenário mal configurado pode ter consequências terríveis. Esse é exatamente o cenário assustador que aconteceu na Tailândia quando a AIS, uma de suas maiores operadoras, expôs acidentalmente bilhões de registros da Internet a quem sabia bisbilhotar.

O pesquisador de segurança Justin Paine descobriu um cluster com menos de três servidores nos quais os bancos de dados foram expostos sem uma senha. O banco de dados era realmente controlado pela Advanced Wireless Network (AWN), uma subsidiária da operadora de rede da Tailândia, Advanced Info Services (AIS). O AIS é, no entanto, o único ponto a montante do AWN e, para todos os efeitos, foi completamente controlado e usado exclusivamente pelo AIS.

Para seu crédito, a AIS enviou ao TechCrunch uma declaração sobre os erros cometidos desde maio. Foi apenas na semana passada que o banco de dados foi protegido após repetidas tentativas de contato com a empresa. Em seu comunicado, a AIS diz que nenhuma informação pessoal vazou e, embora tecnicamente verdade, hackers e até agentes do governo não precisam ir tão longe para obter algo sobre esse banco de dados.

O banco de dados continha mais de 3 bilhões de consultas DNS e cerca de 5 bilhões de dados NetFlow na Tailândia. Juntas, essas peças podem ser usadas para rastrear onde determinados usuários ou famílias, identificados com base em seus endereços IP, acessam a Internet. Essas informações podem ser analisadas para criar um perfil de usuários, exatamente o que os anunciantes fazem quando colocam as mãos em algo assim.

Isso também pode ser problemático para usuários da Internet em países com políticas mais restritivas de liberdade de expressão, países exatamente como a Tailândia. Embora o banco de dados tenha sido finalmente fechado para acesso público, não se sabe quem mais conseguiu acessá-lo nas três semanas em que ficou exposto.