Imagine uma noite você entrando numa cervejaria e escolhendo entre 82 cervejas artesanais premium para um porre astronômico — e totalmente por conta da casa? Parece promoção maluca de rede social ou roteiro do próximo “Se Beber Não Case”, mas neste caso, é irresponsabilidade mesmo: uma gap no app da fabricante escocesa BrewDog permitia abusar de uma vulnerabilidade que conferia beer free.

A falha foi descoberta pelo grupo PenTestPartners, contratado para avaliar a security do código do app. Segundo os testadores, uma brecha no gerador de QR codes, usado para emitir vales-cerveja gratuitos a acionistas aniversariantes, poderia ser utilizado indefinidamente para hackers encherem a cara nas contas da BrewDog. O código era explorável durante três dias antes e depois da data de aniversário.

advertising

Na prática, isso acontecia por um descuido na configuração do app. O programa utilizava o mesmo Bearer Token — uma linha de código de autenticação — para todas as contas.

“Geralmente, há um processo de autenticação onde um usuário envia suas credenciais, e uma Bearer Token é devolvida na qual permite acesso aos pontos finais no contexto daquele usuário”, afirmam os testadores. O contexto, no caso do app da BrewDog, é o código para o QR code.

glass of beer
Além de cerveja, falha concedia acesso aos dados de principais clientes da BrewDog. (Imagem: MabelAmber/Pixabay/CC)

Os testes indicaram que a falha estava disponível desde março de 2020, e a cervejaria informa não encontrar provas de abuso da vulnerabilidade. Para os testadores de segurança, isso não é o bastante.

“Enquanto a BrewDog diz que não consegue encontrar nenhuma evidência disso [o abuso], não temos certeza de como eles iriam validar isso: cada solicitação estaria vindo de uma conta válida, com uma Bearer Token válida (porém idêntica!). Logo, como eles iriam provar que a solicitação veio do usuário válido e não de pessoas desconhecidas?”, afirmam.

Cerveja de graça, e dados pessoais de aperitivo

Na prática, a cerveja de graça ainda é a menor dos problemas do incidente hacker. Para a BrewDog, o problema vêm servido de um altíssimo risco de brecha de dados. A mesma configuração do Bearer Token fazia com que todos os clientes que cederam informações pessoas à cervejaria — incluindo 200 mil acionistas — estivessem expostos.

“Um atacante poderia realizar uma força bruta para apreender as identidades dos clientes e baixar toda a base de dados dos clientes”, afirmam os pentesters. “Isso não só poderia identificar os acionistas com maior parcela de propriedade, juntamente a seus endereços pessoais, mas também poderia gerar QR codes de descontos para a vida toda!”

A BrewDog não emitiu comentários sobre a situação e tampouco informou oficialmente seus clientes da brecha. A empresa precisou lançar quatro novas atualizações até que a falha nos QR codes deixasse de conceder cerveja de graça a hackers espertinhos.

Imagem: LightField Studios/Shutterstock

Read more:

Have you watched our new videos on YouTube do Olhar Digital? Subscribe to the channel!