O Bing é um mecanismo de pesquisa de propriedade da Microsoft e os dados roubados pertencem ao aplicativo móvel (iOS e Android) que estava em um servidor aberto. O servidor tinha cerca de 6,5 TB de dados e estava crescendo 200 GB por dia quando foi descoberto.
Os usuários do aplicativo móvel Bing em qualquer plataforma, incluindo iOS e iPadOS, correm risco depois que terabytes de informações pessoais dos usuários são roubados de um servidor inseguro.
O grupo de hackers (dedicado às boas práticas) WizCase descobriu o servidor aberto em 12 de setembro, que estava protegido até 10 de setembro. A Microsoft foi notificada em 13 de setembro depois de descobrir quem era o dono do servidor. O servidor não seguro foi protegido pelo Microsoft Security Response Center em 16 de setembro.
O WizCase conseguiu identificar a mineração de dados e um ataque "Meow" subsequente durante o período em que foi aberto. Um ataque Meow é um ataque automático em um servidor exposto que visa limpar uma grande quantidade de dados do servidor. Este ataque Meow quase apagou completamente o banco de dados.
Cerca de 100 milhões de registros foram coletados pelos "hackers" quando um segundo ataque Meow foi lançado contra o servidor em 14 de setembro. Muitos tipos de hackers acessaram os dados enquanto o servidor estava aberto, então houve tempo suficiente para obter quase todos os dados no servidor.
O que significa para os usuários?
Um servidor aberto cheio de terabytes de dados do usuário é um verdadeiro deleite para hackers mal-intencionados. Os dados incluídos no servidor incluíam o seguinte:
- Termos de pesquisa de texto simples
- Coordenadas de localização dos usuários que ativaram a geolocalização
- Tempo de pesquisa exato.
- Token da reivindicação do Firebase.
- Dados de período em resultados de pesquisa
- Lista parcial de URLs visitados nos resultados da pesquisa
- Modelo do dispositivo usado
- deviceID, devicehash e ADID do dispositivo do usuário
Esse banco de dados pode ser usado para pesquisar usuários específicos com base em solicitações ou locais, o que pode levar a fraudes, chantagens, phishing ou ameaças físicas. A equipe do WizCase conseguiu identificar usuários específicos que pesquisaram material de pornografia infantil, armas ou onde atacar grupos específicos de pessoas.
