“O que ocorre é o seguinte: No início de dezembro, enquanto testava algumas vulnerabilidades no sistema da Polícia Civil de São Paulo, encontrei um endpoint exposto que, por razões de segurança, não posso compartilhar agora para evitar vazamentos.O problema é que esse endpoint exibe, em tempo real, todas as pessoas que estão emitindo RG e CNH. Por exemplo, se Dona Maria acabou de solicitar seu RG, os dados já aparecem no sistema no exato momento em que o agente os insere. Essas informações estão publicamente acessíveis, o que abre margem para golpes contra quem acabou de emitir documentos.Se pessoas mal-intencionadas explorarem ainda mais essa falha, a Polícia Civil enfrentará sérios problemas, pois o sistema de login dos agentes não possui segurança reforçada. Cibercriminosos podem acessar fotos e dados de todos os cidadãos que emitiram CNH ou RG em São Paulo. O acesso depende apenas de um usuário e senha, e como há vazamentos frequentes de credenciais, qualquer um pode baixar listas e invadir contas de agentes governamentais.O ideal seria implementar um sistema de autenticação mais seguro, como certificados digitais ou restrição de acesso apenas a IPs autorizados, pois, no momento, qualquer pessoa pode acessar esses dados.Já tentei contatar o CTIR sobre essa falha em São Paulo, inclusive mencionando os endpoints expostos, mas não obtive resposta, mesmo após quatro tentativas de contato.Gostaria de deixar claro que não estou prejudicando ninguém. Outras pessoas já exploraram essa falha e vazaram 1,6 milhão de fotos de cidadãos paulistas. Investiguei o caso e identifiquei um dos responsáveis. Meu único objetivo é impedir que mais indivíduos com intenções criminosas façam o mesmo“.
Fonte: CISO Advisor