Dados do Detran são vazados em grupos hackers

25/04/2023 mindsecblog Notícias 7

Dados do Detran são vazados em grupos hackers. CPF, CEP, cidade, Renavam, placas, chassis e ano de fabricação são alguns dos dados vazados dos motoristas de São Paulo.

Dados de motoristas de São Paulo estão circulando em grupos de hackers, segundo informações do Olhar Digital. As informações teriam origem do Detran-SP ou de outro órgão que tenha acesso aos dados dos condutores.

O site de notícias recebeu uma denúncia de um ciberativista anônimo que disponibilizou um documento com milhares de dados comprovando o caso. O Olhar Digital começou um trabalho de apuração do caso e verificaram diversos CPF’s, CEP’s, cidades, Renavam, placas, chassis e ano de fabricação e entre outros.

Segundo a fonte, os dados tirados foram de 2015 a 2022 e foi apenas uma “amostra grátis“. Para ter o acesso a dados mais recentes dos motoristas de São Paulo, é preciso pagar cerca de US$ 30 mil, ou seja, mais de R$ 150 mil.

De acordo com o Detran-SP, não houve violação do seu banco de dados, contudo, o Departamento de Trânsito pediu uma investigação ao Deic.

A Prodesp, empresa de tecnologia do Governo do Estado de São Paulo responsável pelo armazenamento e processamento de dados do Detran-SP, informa que “não houve violação do banco de dados do Departamento de Trânsito no sistema da companhia, que adota rígidos controles de acessos e conta com monitoramento 24 horas em tempo real pelas equipes de TI — Tecnologia da Informação”.

Como tudo começou

O Olhar Digital afirma que receberam o contato de um ciberativista anônimo. Inicialmente, ele nos informou o vazamento. Depois de conversar com a nossa equipe, ele disponibilizou um documento imenso, com milhões de dados. O site não conseguiu, contudo, fazer uma contagem do número de informações dispostas e de motoristas afetados, pois era muita coisa.
Segundo o site, eles acionamos a equipe de informática e tecnologia para auxilia com a checagem e com a segurança dos dados. Tudo o que o ciberativista enviou estava em arquivos seguros. Além disso, fizemos planilhas para organizar parte do que estava disponibilizado sobre condutores e veículos: nome completo, endereço, CPF, CEP, cidade, Renavam, placa, chassi e ano de fabricação, por exemplo.
Pelo site da Secretaria da Fazenda, foi possível fazer uma consulta de débito por veículo apresentando Renavam e placa, como vemos abaixo:
consulta de débito por veículo apresentando Renavam e placa:

O OlharDigital preencheu os dados apresentados de dezenas de motoristas e todos batiam. Como mostrado abaixo, o portal da Fazenda estadual não apresenta os nomes dos condutores. Mas, todas as informações sobre os veículos estavam corretas. Ou seja, mesmo com a checagem sendo parcial, conseguiu-se provar um grau de veracidade importante naquilo que foi passado. Tanto é que uma investigação será aberta.

Por que esses dados estão circulando?

Segundo o ciberativista que passou a denúncia, os hackers extraíram os dados entre os anos de 2015 e 2022. O que ele teve acesso foi uma “amostra grátis”. Para ver os dados completos de anos mais recentes, é preciso pagar US$ 30 mil — mais de R$ 150 mil. A base que vista serviu para provar que os atacantes têm as informações e, assim, monetizar o que há de mais novo. E, de fato, todos os veículos listados eram de 2015 ou mais antigos.

O que diz o Detran-SP

O Detran-SP informou que não houve violação do banco de dados do Departamento de Trânsito e que, de toda forma, pediu uma investigação ao Deic. Embora o Olhar Digital não tenha conseguido comprovar que o vazamento é de dados atualizados, o material que circula tem informações corretas sobre milhares de veículos. Afinal, não é comum sair por aí divulgando o seu Renavam e o chassi do seu veículo.

Confira a nota completa do Detran-SP:

A Prodesp, empresa de tecnologia do Governo do Estado de São Paulo responsável pelo armazenamento e processamento de dados do Detran-SP, informa que “não houve violação do banco de dados do Departamento de Trânsito no sistema da companhia, que adota rígidos controles de acessos e conta com monitoramento 24 horas em tempo real pelas equipes de TI — Tecnologia da Informação”.
Mesmo assim, diante das informações apresentadas pela reportagem, a área de Auditoria do Detran-SP já solicitou o apoio da Divisão de Crimes Cibernéticos (DCCIBER), subordinada ao Deic (Departamento Estadual de Investigações Criminais), para investigar a origem e a eventual procedência relativa a acesso irregular para obtenção de informações na base de dados do Departamento de Trânsito Paulista.
Detran-SP

O Olhar Digital afirma também que enviou uma solicitação de posicionamento à Autoridade Nacional de Proteção de Dados e aguarda um retorno.

Em nota enviada à redação da Security Report, a Prodesp, empresa de tecnologia do Governo do Estado de São Paulo responsável pelo armazenamento e processamento de dados do Detran-SP, se manifestou igualmente e informou que não há violação do banco de dados do Departamento de Trânsito no sistema da companhia.

Além disso, o órgão ressaltou que adota rígidos controles de acessos e conta com monitoramento 24 horas em tempo real pelas equipes de Tecnologia da Informação. Apesar de enfatizar a inexistência do vazamento, a área de auditoria do órgão solicitou o apoio da Divisão de Crimes Cibernéticos (DCCIBER) para investigar a origem e a eventual procedência do caso reportado.

Essa não é a primeira vez que o Detran-SP se envolve nesse tipo de ocorrência. Em 17 de agosto de 2021, portais davam conta de um incidente no sistema do Departamento Estadual de Trânsito de São Paulo. Um vazamento teria exposto informações como nomes completos, números de documento, placas de carro e unidade federativa de motoristas. Os dados em questão estariam sendo vendidos em um fórum cibercriminoso por cerca de US$ 200,00.

Na época, a Prodesp informou que não houve nenhuma violação do banco de dados do Detran-SP e ainda reforçou que a companhia conta com monitoramento 24 horas por dia em tempo real pelas equipes de TI.

Em 2019 o site do Detran-RN expôs dados de 70 Milhões de brasileiros, que possuem CNH, tiveram os dados pessoais expostos no site do Detran. Na época, o pesquisador, que afirmou ter contatado por duas vezes o Departamento Nacional de Trânsito para notificar a falha, afirma que não obteve nenhum retorno. Mas, que na semana seguinte, ao tentar acessar o site novamente, descobriu que a página não mostrava mais informações da ficha cadastral, mas continuava ativa e, assim, passível de ser acessada e explorada por algum invasor.

Aparentemente, o Detran corrigiu a brecha do sistema, visto que as tentativas não retornam mais páginas com dados dos cadastrados.