K-Max fala sobre problemas da Telefônica

Postado por Edu Nicácio    Nenhum comentário

Se for considerado culpado, ele pode se condenado a quatro anos de prisão e pagamento de multa

Após ser indiciado pela polícia na última quinta-feira por crime de divulgação de segredo qualificado, o programador Vinicius Camacho fala sobre a vulnerabilidade da Telefônica.

O jovem de 28 anos, conhecido como K-Max, foi acusado de disponibilizar as informações de diversos clientes da empresa na rede, segundo informações da assessoria de imprensa do Deic.

Em nota oficial, a Telefônica apenas disse que “denunciou o crime à polícia e prestou as informações necessárias às autoridades”.

Segundo o Deic, o programador admitiu ter publicado os dados pessoais dos usuários em uma página na internet. Se for considerado culpado, ele pode se condenado a quatro anos de prisão e pagamento de multa.

Procurado pela redação de INFO Online, Camacho falou sobre a técnica utilizada para conseguir os dados e o tipo de vulnerabilidade presente no site da empresa.

Abaixo, segue trecho da entrevista:

“INFO Online – Quando você descobriu o problema de segurança da Telefônica? Passou muito tempo estudando a falha?

K-Max - Foi em junho, não lembro exatamente o dia. Levei apenas alguns minutos que foram o suficiente para perceber a gravidade da falha e qual tipo de acesso era possível através dela.

INFO Online - Você pode detalhar a vulnerabilidade encontrada?

K-Max - Sim. O site estava vulnerável à SQL Injection, falha que permite que alguém possa ganhar acesso total ao banco de dados, usando nada além do que o próprio navegador. A vulnerabilidade não existia apenas em um único ponto da página, mas em várias outras partes.

É bom citar que havia fortes indícios de que o problema existia há, pelo menos, 3 anos. Já que o “header http Last-Modified” informava a data em que os arquivos do site foram modificados pela última vez, em 2006.

Isso me faz crer que aquele subsite passou 3 anos abandonado.

INFO Online – E você teve que desenvolver alguma ferramenta para ganhar o acesso?

K-Max - Para notar a vulnerabilidade, não usei nada além do que um navegador. Mas criei um pequeno script PHP pra conseguir criar a prova de conceito que mostrava que os dados de mais de um milhão de clientes Speedy estavam expostos para o mundo.”

Leia na íntegra em http://info.abril.com.br/noticias/seguranca/k-max-fala-sobre-problemas-da-telefonica-21082009-15.shl