Vazamento massivo expõe 2,7 bilhões de registros de dispositivos IoT

Um dos maiores vazamentos de dados já registrados foi revelado na última semana, expondo 2,7 bilhões de registros confidenciais provenientes das empresas Mars Hydro e LG-LED Solutions. O volume de 1,17 terabytes estava armazenado em um banco de dados desprotegido e acessível publicamente na internet.

O vazamento foi descoberto pelo pesquisador de cibersegurança Jeremiah Fowler, que relatou suas descobertas à equipe do vpnMentor. Entre os dados expostos estão nomes de redes Wi-Fi, senhas, endereços IP, identificadores de dispositivos e informações de APIs – todos armazenados em texto puro, sem qualquer tipo de criptografia.

A gravidade do incidente é evidente não apenas pelo volume, mas principalmente pela natureza sensível dos dados. Com acesso a esses registros, cibercriminosos poderiam potencialmente invadir redes domésticas e corporativas, sequestrar dispositivos IoT para ataques de botnet ou até mesmo manipular remotamente equipamentos conectados como luzes, ventiladores e sistemas de climatização.

Bancos de dados estavam desprotegidos

De acordo com Fowler, o vazamento ocorreu devido a bancos de dados MongoDB que foram deixados sem qualquer proteção por senha. “Encontramos 13 pastas contendo mais de 100 milhões de registros cada, incluindo SSIDs de redes Wi-Fi, senhas em texto puro, endereços IP, números de identificação de dispositivos e muito mais”, relatou o pesquisador.

Entre os dados obtidos pela exploração estão:

 

• Nomes de redes Wi-Fi (SSIDs) e senhas
• Endereços IP de dispositivos e usuários
• Identificadores únicos de dispositivos IoT
• Detalhes de sistemas operacionais (iOS/Android)
• Tokens de APIs e versões de aplicativos
• Logs de erros contendo informações sensíveis

“Com essas credenciais expostas, um atacante poderia potencialmente se conectar à rede Wi-Fi e comprometer outros dispositivos ou tentar um ataque de ‘vizinho mais próximo’ (KNN)”, alertou Fowler. Esse tipo de ataque permite que hackers explorem redes próximas geograficamente para atingir alvos específicos, como demonstrado recentemente em um incidente envolvendo hackers russos.

Vulnerabilidade de dispositivos IoT

A investigação revelou que os dados eram coletados pelo aplicativo Mars Pro, utilizado para controlar luzes de cultivo e sistemas de climatização IoT da Mars Hydro. Curiosamente, a política de privacidade do app afirma que nenhum dado do usuário é armazenado — o que claramente não condiz com a realidade.

“Não está claro como os registros de logs contêm detalhes de conectividade e credenciais. Uma possibilidade é que sejam capturados e registrados pelos dispositivos IoT uma vez que estão conectados à rede local do usuário”, explicou Fowler. “Independentemente de como essa informação foi obtida, isso levanta preocupações potenciais sobre a segurança de dispositivos IoT e privacidade da rede.”

O caso exemplifica um problema já conhecido na indústria: a falta de proteção adequada em dispositivos IoT. Um estudo da Palo Alto Networks estima que 57% dos dispositivos IoT são altamente vulneráveis, com 98% transmitindo dados sem qualquer criptografia. Além disso, 83% dos dispositivos conectados executam sistemas operacionais desatualizados ou sem suporte.

“Muitos dispositivos IoT têm capacidades de processamento limitadas, que restringem a implementação de recursos de segurança adicionais, ferramentas de criptografia ou instalação de atualizações importantes de segurança ou firmware”, alertou o pesquisador.

Vazamento afeta brasileiros?

Não há detalhes específicos sobre quantos usuários brasileiros podem ter sido afetados pelo vazamento. No entanto, considerando que a Mars Hydro comercializa seus produtos globalmente, inclusive no Brasil, é provável que dados de clientes locais estejam entre os registros expostos.

Este incidente serve como mais um alerta sobre a importância de configurar corretamente dispositivos IoT e implementar medidas de segurança adequadas. Tanto usuários quanto fabricantes precisam estar atentos aos riscos e tomar providências para proteger dados sensíveis.

Amostra exibe como arquivos eram capturados e armazenados nas pastas dos servidores da Mars Hydro (Imagem: Reprodução/vpnMentor)