Uma aplicação de trabalhos de matemática acabou de perder os dados de um milhão de alunos, pais e professores
A Mathspace é daquele tipo de software que uma criança usa sem que ninguém pense no assunto. Escolas de toda a Austrália e da Nova Zelândia distribuem-na para os trabalhos de matemática, os dados de acesso acabam guardados no navegador do computador da família, e essa é a última decisão consciente que alguém toma sobre isto. A 7 de setembro a empresa publicou a dimensão da fuga: 1 079 819 alunos, pessoal escolar e pais.
A cronologia merece ser lida devagar. O Metabase, uma ferramenta de relatórios que a Mathspace alojava nos seus próprios servidores, publicou uma correção de segurança crítica a 6 de agosto. Um atacante usou a falha não corrigida para obter acesso de administrador a 10 de agosto, descarregou a base de dados a 27 de agosto, e a Mathspace instalou a atualização a 29 de agosto, dois dias depois de os dados já terem saído. A intrusão só foi confirmada a 3 de setembro. A empresa atribui isto a um descuido interno no tratamento dos avisos de vulnerabilidades, expressão arrumada para uma fila que ninguém leu.
Levaram nomes, nomes de utilizador, endereços de correio eletrónico, tipo de utilizador, país, fuso horário e datas de acesso. As palavras-passe, os tokens de autenticação única e os resultados escolares não foram expostos, e a Mathspace diz não ter visto sinais de venda ou publicação dos dados. Mesmo assim, uma lista de nomes de crianças emparelhados com endereços de correio da escola é um kit de phishing pronto a usar. O único sintoma a levar a sério é uma mensagem de reposição de palavra-passe que ninguém pediu. Se chegar, não clique em nada lá dentro: vá ao site por si próprio e verifique a conta. E se a mesma palavra-passe protege também o correio do seu filho, e não só a aplicação dos trabalhos, mude-a hoje.
Os computadores de família acumulam sessões que ninguém se lembra de ter iniciado. A verificação de Privacidade e contas do Tendvane lista o que está com sessão iniciada na máquina, o que é uma forma rápida de descobrir que contas existem de facto antes de procurar as que importam.