Um cliente vendo os dados do outro
Basta trocar um número no endereço pra abrir os dados de outra pessoa. É uma das falhas mais comuns em apps feitos rápido — e uma das que mais dói em LGPD.
O que é
Cada cliente deveria ver só o que é dele. Essa falha acontece quando o sistema mostra a informação sem checar se quem está pedindo tem realmente direito a ela — confia só no endereço que o navegador enviou.
- O número na URLMuitos apps identificam o dado por um número no endereço (…/pedido/1042). Trocar o número deveria dar "acesso negado" — mas às vezes abre.
- Falta a checagemO sistema busca o dado pedido sem perguntar "esse dado é mesmo desse usuário?" antes de entregar.
- Vale pra tudoPedido, fatura, mensagem, foto, cadastro — qualquer coisa identificada por um número pode vazar assim.
Como o invasor usa
Não precisa de ferramenta sofisticada: às vezes é só mudar um número na barra de endereço e ver o que aparece. Por isso é tão explorada.
- Tentativa e erroO invasor troca o número várias vezes e vai colecionando os dados que aparecem, um a um.
- Coleta em massaCom um script simples, ele percorre todos os números em sequência e baixa a base inteira em minutos.
- Dado sensível na mãoNome, telefone, CPF, endereço e histórico de compra de todos os seus clientes — pronto pra vazar ou vender.
Onde costuma aparecer
Aparece em quase todo app que tem "área do cliente" e foi construído sem uma revisão de quem-pode-ver-o-quê.
- Telas de detalhePáginas de "ver pedido", "ver fatura", "ver perfil" que carregam pelo número sem checar o dono.
- APIs por trás do appO endereço que o app chama nos bastidores costuma ter a mesma falha, e é ainda mais fácil de atacar.
- Apps com IAA IA monta a busca pelo número rapidinho, mas raramente adiciona sozinha a verificação de permissão.
Como a gente acha e corrige
A gente testa justamente trocar os números e acessar o que não deveria, mapeia onde falta a checagem e ajuda a fechar cada ponto.
- Testamos como invasorEntramos com uma conta e tentamos ver os dados de outra — em cada tela e em cada endereço interno.
- Mapeamos os furosListamos exatamente onde o sistema entrega dado sem confirmar o dono, do mais grave ao menor.
- Fechamos a portaAjudamos a colocar a verificação de permissão em todo acesso, pra cada um só ver o que é seu.
Algum desses é a sua dor?
Conte o seu caso — no mapeamento a gente confirma se dá pra automatizar e mostra o ganho antes de você decidir. Sem compromisso.
Fale conosco