As autoridades de saúde da Argentina aparentemente expuseram os dados médicos e pessoais relativos a cerca de 115.000 candidatos à isenção de quarentena do COVID-19. O material estava num banco de dados Elasticsearch exposto na web sem uma senha ou qualquer outra autenticação necessária para acessá-lo. Os dados incluíam nomes, números de identificação nacional, números de identificação fiscal e outras informações sobre os candidatos. Trabalhadores essenciais na Argentina podem solicitar essas autorizações para ficarem isentos de certas restrições de quarentena do COVID-19.
Com base nas evidências disponíveis, os pesquisadores acreditam que os dados pertencem ao governo da província de San Juan, Argentina, e ao Ministério da Saúde Pública do país.
A descoberta foi feita pelo principal pesquisador de segurança da Comparitech, empresa da Inglaterra que analisa produtos e serviços de segurança da informação, Bob Diachenko. Ele descobriu o banco de dados desprotegido em 25 de julho e alertou imediatamente o Ministério da Saúde da Argentina.
Veja isso
VPN ‘zero logs’ expõe dados de milhões de clientes e de conexões
Honeypot confirma risco iminente para bancos de dados
No entanto, a Comparitech informa que decidiu publicar a informação porque até 30 de julho não recebeu qualquer resposta do governo argentino. O banco de dados ficou exposto por pelo menos duas semanas. Esta é uma linha do tempo sobre o que aconteceu segundo a empresa:
- 12 de julho de 2020: o banco de dados foi indexado pelo mecanismo de pesquisa BinaryEdge.
- 25 de julho de 2020: Diachenko descobriu o banco de dados e alertou o Ministério da Saúde.
- 28 de julho de 2020: O banco de dados foi retirado, mas inexplicavelmente voltou a ficar online. Diachenko enviou outro alerta, desta vez para a Diretoria Nacional de Segurança Cibernética da Argentina, que reconheceu o incidente e repassou nossa divulgação aos responsáveis.
- 29 de julho de 2020: o banco de dados foi removido.
Não foi possível determinar se alguma pessoa não-autorizada acessou o banco de dados enquanto ele estava exposto, informou a Comparitech, acrescentando que “nossa pesquisa mostra que bancos de dados desprotegidos começam a receber ataques poucas horas após a exposição , então isso parece provável”.
Quando Diachenko o encontrou, o banco de dados já havia sido infiltrado por um “bot meow”, um bot automatizado responsável por destruir centenas de bancos de dados expostos nas últimas semanas. Nesse caso, entretanto, o bot deixou os dados intactos.