Dados de 49 Milhões de usuários do Instagram expostos online

27/05/2019 mindsecblog Notícias 2

Dados de 49 Milhões de usuários do Instagram expostos online no Amazon Web Services. O site de compartilhamento de fotos Instagram diz que está tentando descobrir como os detalhes de contato de quase 50 milhões de usuários foram armazenados online em um banco de dados desprotegido.

Um enorme banco de dados contendo informações de contato de milhões de usuários do Instagram de influenciadores, celebridades e contas de marca foram encontrados online.

O banco de dados, hospedado pela Amazon Web Services, ficou exposto e sem uma senha, permitindo que qualquer pessoa olhasse para dentro. No momento da escrita, o banco de dados tinha mais de 49 milhões de registros – mas, segundo o site TechCrunch estava crescendo a cada hora.

O TechCrunch, que divulgou a reportagem, disse que incluía informações pessoais como e-mail e números de telefone de usuários conhecidos como “influenciadores”.

A partir de uma breve revisão dos dados, cada registro continha dados públicos extraídos de contas do Instagram de influenciador, incluindo sua bio foto do perfil, o número de seguidores que eles têm, se eles são verificados e sua localização por cidade e país, mas também continham informações de contato pessoal, como o endereço de e-mail e o número de telefone do proprietário da conta do Instagram.

O banco de dados foi rastreado para uma empresa de Mumbai chamada Chtrbox.

O Instagram, que pertence ao Facebook, disse à BBC que estava tentando descobrir de onde os dados vieram.

“Estamos analisando o problema para entender se os dados descritos, incluindo e-mails e números de telefone, são do Instagram ou de outras fontes. Também estamos perguntando com o Chtrbox para entender de onde esses dados vieram e como se tornaram disponíveis ao público“, disse em um comunicado enviado à BBC.

O Chtrbox, que é uma empresa de marketing, colocou o banco de dados offline.

Em comunicado, a empresa disse que os relatórios são “imprecisos“.

“Um banco de dados específico para influenciadores limitados foi inadvertidamente exposto por aproximadamente 72 horas.”

“Este banco de dados não incluiu nenhum dado pessoal confidencial e continha apenas informações disponíveis de domínio público, ou auto-relatadas por influenciadores.“, completa o comunicado.

A empresa disse que nunca comprou nenhum dado obtido por “meios antiéticos“, como um hacker.

No entanto, coletar ou armazenar informações de contas do Instagram viola as políticas do site de mídia social.

O TechCrunch disse que entrou em contato com várias pessoas selecionadas ao acaso, cujas informações foram encontradas no banco de dados e forneceu seus números de telefone. Duas das pessoas responderam e confirmaram que seu endereço de e-mail e número de telefone encontrados no banco de dados foram usados para configurar suas contas no Instagram. Nenhum deles afirmou ter tido envolvimento com o Chtrbox.

Depois do contato do TechCrunch com o Chtrbox, o banco de dados foi tirado do ar. Pranay Swarup, fundador e executivo-chefe da empresa, não respondeu a um pedido de comentários e a várias perguntas do TechCrunch, incluindo como a empresa obteve endereços de e-mail e números de telefone de contas pessoais do Instagram.

Mais tarde, em um tweet , Chtrbox contestou o número de pessoas afetadas e afirmou que não mais do que 350.000 influenciadores foram afetados.

Chtrbox também disse que o banco de dados estava aberto apenas por 72 horas, mas o pesquisador confirmou que o banco de dados foi detectado pela primeira vez no Shodan, um mecanismo de busca de bancos de dados e dispositivos expostos, em 14 de maio, 6 dias antes da reportagem do TechCrunch.

O esforço de limpeza vem dois anos depois que o Instagram admitiu que um bug de segurança em sua API do desenvolvedor permitia que hackers obtivessem os endereços de e-mail e números de telefone de seis milhões de contas do Instagram . Os hackers depois venderam os dados por bitcoin.

Meses depois, o Instagram – agora com mais de um bilhão de usuários – limitou sua API para controlar o número de solicitações que os aplicativos e desenvolvedores podem fazer na plataforma.

O Facebook, que é dono do Instagram, disse que contestou o relatório.

“Levamos a sério qualquer alegação de uso indevido de dados. Após uma investigação inicial sobre as alegações feitas nesta história, descobrimos que nenhum email ou número de telefone privado de usuários do Instagram foi acessado ”, disse um porta-voz do Instagram. “O banco de dados do Chtrbox publicou informações de várias fontes, somente uma era do Instagram. Chtrbox também esclareceu que o banco de dados continha informações para 350.000 pessoas, e não 49 milhões como foi reportado ”,

Mais tarde o Instagram atualizou seu comunicado dizendo que “Estamos estudando a questão para entender se os dados descritos – incluindo e-mail e números de telefone – são do Instagram ou de outras fontes“. “Também estamos perguntando com o Chtrbox para entender de onde esses dados vieram e como se tornaram disponíveis publicamente“, acrescentou.