Quem é assinante do Globoplay, serviço de streaming de vídeo da Globo, tomou um belo de um susto na noite do último sábado (16). Aqueles que possuem o aplicativo oficial da plataforma instalado em seus celulares receberam uma notificação push dizendo que o software havia sido hackeado por membros do grupo OurMine — os invasores até mesmo divulgaram seu email de contato para que a emissora entrasse em contato para “melhorar sua segurança” e incentivaram o uso da hashtag #GloboHack no Twitter.
Porém, em um comunicado oficial divulgado na madrugada do dia seguinte (17), a Globoplay garante que a invasão não foi à plataforma Globoplay em si, mas sim em seu sistema de envio de push notifications, que é externo ao serviço de streaming. “O Globoplay lamenta o incidente, pede desculpas a todos os seus usuários e esclarece que nenhum sistema da Globo ou do Globoplay foi invadido. A falha de segurança se limitou ao sistema da empresa parceira responsável pelo envio de push notifications”, explicou a companhia.
“Nenhuma informação dos usuários, assinantes ou não, foi comprometida. O sistema de push notifications não se conecta com os bancos de dados dos nossos usuários e nem a qualquer outro sistema. Não existe qualquer risco em usar o Globoplay, em qualquer plataforma. Não é necessário desinstalar o aplicativo nem trocar senha”, complementou a emissora.
Será mesmo?
Embora seja sempre sensato duvidar de comunicados oficiais de grandes empresas após incidentes de segurança, temos que dar uma colher de chá para a Globo. Realmente, a maioria dos sistemas de envio de push notifications são externos — vide soluções líderes de mercado como PushEngage e OneSignal, por exemplo. Porém, esses serviços coletam metadados dos dispositivos móveis para os quais as notificações são enviadas e algumas vezes se comunicam com a base de usuários do aplicativo ou do site em questão.
O sistema de envio de push notifications do Globoplay, gerenciado por uma empresa parceira, foi alvo de uma ação de cibervandalismo na noite deste sábado, 16/5. Os invasores enviaram duas mensagens que direcionavam o usuário para o site da organização.
— globoplay em 🏠 (@globoplay) May 17, 2020
Isso significa que existe a possibilidade de que, sim, os invasores tiveram acesso a, pelo menos, nome e email dos usuários da Globoplay, ou pelo menos alguns dados técnicos sobre seus gadgets (fabricante, modelo, sistema operacional etc.).
Vale a pena ressaltar, porém, que o OurMine é um grupo de referência e se auto-intitula uma equipe de “hackers do bem”. Estrangeiros, os responsáveis já criaram problemas em serviços como Discord e até mesmo YouTube, além de ter invadido uma diversidade de contas de celebridades em redes sociais como Facebook e Twitter. Um de seus membros, conhecido simplesmente como M1ke Security, foi preso em 2018 por crime de invasão à dispositivos informáticos.
Fonte: Globoplay, The Wall Street Journal