Mais um grande vazamento de dados foi revelado nesta quinta-feira (21), atingindo milhões de consumidores. Um laboratório independente de segurança digital que reúne pesquisadores de diferentes partes do mundo, divulgou relatório que mostra que a plataforma de vendas on-line Hariexpress, parceria de gigantes do varejo que atuam no Brasil como Magalu, Americanas, Shopee, Mercado Livre e Amazon, expôs mais de 1,75 bilhão dados confidenciais.

O relatório foi divulgado pelo grupo Safety Detectives e, conforme reportagem publicada no UOL, os dados equivalem a 610 gigabytes de informações. 

Os pesquisadores verificaram uma má configuração em um servidor da Hariexpress, chamado de ElasticSearch, que é como um mecanismo de buscas dentro dos sites. Ele estava sem criptografia e sem qualquer proteção por senha. A exposição das informações foi identificada em maio deste ano, mas o relatório só foi divulgado em outubro em razão dos dados estarem em português.

A Hariexpress oferece um serviço em que comerciantes podem automatizar vendas por meio do marketplace, em que grandes varejistas exibem produtos de terceiros. Para facilitar o processo, os vendedores cadastram seus produtos de uma vez em várias lojas. Além das já citadas, a empresa tem integração com os Correios.

Essa exposição pode fazer os clientes e vendedores serem alvos de golpes. O relatório não conseguiu apontar quanto do 1,75 bilhão de dados representa em pessoas físicas ou jurídicas. O grupo Safe Detectives informou que não conseguiu tratar do incidente no servidor com a Hariexpress.

Vazamentos como esse têm se tornado constantes e ligado um alerta sobre a falta de proteção de dados pessoais. Segund o diretor-presidente do Procon-ES, Rogério Athayde, as empresas são obrigadas a contar com mecanismos para garantir o controle e a segurança dos dados pessoais dos consumidores.

Em caso de descumprimento das normas ditadas pela Lei Geral de Proteção de Dados Pessoais (LGPD), Athayde explica que as companhias poderão sofrer sanções administrativas, civis e penais previstas em lei e no Código de Defesa do Consumidor.

A reportagem de A Gazeta consultou três especialistas no assunto para saber como identificar e o que fazer caso o consumidor tenha seus dados expostos: o diretor de relações do Instituto Brasileiro de Defesa do Consumidor (Idec), Igor Britto; o advogado criminalista Raphael Câmara; e o especialista em segurança da informação Gilberto Sudré. 

É possível monitorar o uso do seu CPF consultando abertura de contas e pedidos de empréstimos indevidos caso o documento tenha sido vazado. Essa opção é oferecida pelo Registrato, plataforma do Banco Central. O cadastro é gratuito e a pessoa consegue saber se alguém abriu conta em nome dele, fez financiamento, etc.

Em serviços de proteção ao crédito, como Serasa e SPC, também é possível fazer consulta se estão usando seu CPF de algum modo.

Há ainda plataformas como o site haveibeenpwned.com, onde o usuário cadastra o e-mail e consegue identificar quais outros locais o e-mail vazou, e o site minhasenha.com, que conta com serviço que indica se o e-mail foi vazado. Há ainda uma ferramenta do navegador Firefox, chamada monitor.firefox.com, que é possível colocar o e-mail e checar vazamentos.

A base da Hariexpress tinha 610 gigabytes de informações. Entre os registros encontrados, estão dados pessoais de clientes e lojistas, como:

• Nomes completos e "apelidos" da conta (nomes de usuário);
• Endereço de e-mail;
• Números de telefone; 
• Endereços de entrega completos;
• Detalhes de faturamento, incluindo endereços de cobrança e o valor pago pelas mercadorias; 
• Imagens das mercadorias entregues.

Ainda de acordo com o laboratório, os dados de vendedores incluíam CNPJ, CPF e detalhes das cobranças.

O UOL entrou em contato com as empresas afetadas. A Amazon disse que leva muito a sério a segurança de dados. "Desenvolvemos todos os nossos sistemas e processos considerando a segurança da informação. Com relação a este episódio, fomos informados pela HariExpress que não ocorreu o vazamento de nenhum dado da Amazon", acrescenta.

A Americanas informou que “desconhece a ocorrência de qualquer vazamento de dados de seus clientes ou vulnerabilidade em seu ambiente. A informação também foi certificada pela Hariexpress na última semana" e "segue oferecendo uma plataforma íntegra e segura, aderente a toda legislação vigente".

Os Correios enviaram nota dizendo que "até o momento, não há indícios de violação de informações — de pessoas físicas ou jurídicas — oriundas da base de dados da estatal. O sistema dos Correios que mantém integração ao servidor citado atua apenas na aferição de peso de encomendas e precificação, não havendo o processamento de dados pessoais".

A empresa Magalu esclareceu que contou com a Hariexpress como um de seus integradores por um período de dez meses. Durante esse período, a HariExpress adicionou apenas 30 sellers [adicionar produtos] à plataforma da companhia e registrou 12 vendas. Até este momento, o Magalu não registrou qualquer vazamento de dados".

O Mercado Livre suspendeu preventivamente a operação da Hariexpress em sua plataforma "tão logo soube do ocorrido". A empresa sustenta que a plataforma "atua como integradora de marketplaces, presta serviço exclusivamente para vendedores que anunciam produtos em diferentes plataformas do mercado, dentre elas o Mercado Livre".

Também em nota, a Shopee disse que a "Hariexpress já informou que os usuários da empresa não foram impactados. A Shopee leva a privacidade dos dados muito a sério e está empenhada em garantir a segurança e proteção dos dados de todos no ecossistema".