Quase 1 milhão de passaportes expostos por software de clubes de cannabis

Não foi um hacker genial nem uma operação de espionagem. Foram meia dúzia de letras num browser e, do outro lado, passaportes e cartas de condução de perfeitos desconhecidos. O investigador de segurança Sammy Azdoufal tropeçou em mais de 985.000 documentos de identificação expostos na internet, sem qualquer autenticação, ligados a clubes de cannabis que usam software da empresa irlandesa Cannabis Club Systems, também conhecida como Nefos Solutions.

O cenário não é bom… se já entraste num cannabis club em Espanha nos últimos anos, há uma probabilidade desconfortável de a tua foto, número de telemóvel, morada, preferências de cannabis e consumos mensais terem ido parar a servidores acessíveis a qualquer curioso. Segundo Azdoufal, a base de dados inclui milhares de visitantes de vários países europeus, gente da África do Sul e Reino Unido, mais de 30.000 cidadãos dos Estados Unidos e um lote de celebridades que certamente não queriam ver o seu consumo de cannabis ligado ao número de passaporte.

O problema não está nos clubes em si, está no software que lhes foi vendido. A CCS fornece o sistema de gestão para vendas, contabilidade e admissões, incluindo um módulo em que o rececionista fotografa o teu documento e o envia para a “nuvem” da Nefos. Em vez de mostrares o cartão sempre que entras, o funcionário confirma a tua identidade no sistema. Há ainda uma app opcional, PuffPal, que acelera a entrada com códigos QR. Conveniente, até se descobrir que o castelo é de cartas.

Ao desmontar a app PuffPal, Azdoufal encontrou tudo o que não devia lá estar: uma chave secreta da Stripe, a plataforma de pagamentos, em texto simples dentro do código, e um sistema de perfis em que bastava alterar um número no URL para saltar de utilizador em utilizador. Perfis que podem incluir telefone, morada, passaporte e até gostos de erva, tudo servido de bandeja. Pior, as imagens dos documentos estavam alojadas em URLs públicos óbvios, algo como ccsnubev2.com/v8/images/{club}/ID/{user_id}-front.jpg, com os clubes a despejar cerca de 5.000 novos IDs por dia para esse buraco.

Do ponto de vista europeu, isto não é só má prática técnica, é um acidente de viação frontal com o RGPD. Documentos de identificação, dados de saúde implícitos (consumo de substâncias) e informação de contacto expostos desta forma são o tipo de caso que costuma acabar em multas sérias e proibições de tratamento de dados. Quem passou férias em Barcelona, entrou num destes clubes com passaporte português ou brasileiro e confiou no “é só para registo interno” tem agora razões para se perguntar onde anda a sua identidade digital.

Mais do que um escândalo isolado num nicho de clubes de cannabis, isto é um retrato de uma indústria de software que ainda trata segurança como extra opcional. Se empresas que recolhem documentos oficiais, selfies e padrões de consumo não conseguem, no mínimo, pôr palavra‑passe em URLs e esconder chaves de pagamento, então o problema não é falta de reguladores, é falta de vergonha profissional. E sim, a próxima fuga pode ser a app do teu ginásio, do condomínio ou da escola dos miúdos. A diferença é que aqui alguém foi suficientemente teimoso para ir ver.

Fonte: The Verge