SUS tranca servidor. Hacker diz que há mais dois abertos

O Ministério da Saúde classificou como falsa a notícia de que houve um vazamento de dados com origem na base do CADSUS. Ao mesmo tempo, colocou em ‘manutenção’ os servidores que atendem no endereço indicado como vulnerável pelo hacker ‘Tr3v0r’, que anunciou a invasão. O portal do MS que agora está em manutenção é o do Departamento de Atenção Básica – DAB, cujo endereço é dabsistemas.saude.gov.br.  No entanto, Tr3v0r informou em sua conta de Twitter que existem mais dois endereços com APIs abertas para qualquer pessoa consultar os dados de usuários do SUS.

Segundo o portal Tecnoblog, o sistema que teria servido como fonte do vazamento ficou exposto desde pelo menos 2014, e desde o dia 11 está “em manutenção”. O hacker que anunciou o vazamento explicou ao Tecnoblog que obteve dados de 205 milhões de pessoas, sem registros duplicados, e anunciou que ainda irá publicá-los.

Na entrevista ao Tecnoblog, Tr3v0r disse que os dados estavam expostos por meio de uma API, num dos domínios do Ministério da Saúde. A API podia ser acessada por uma URL na qual se inseria um CPF, no padrão “consulta.php?cpf=xxx.xxx.xxx.xx”. Tr3v0r disse que publicou essea informação no GitHub em 2015.