Recentemente, o meio de segurança cibernética Cybernews revelou um incidente chocante de vazamento de dados dos usuários, envolvendo dois aplicativos de companhia de inteligência artificial (IA) muito populares: "Chattee Chat – AI Companion" e "GiMe Chat – AI Companion". Devido a graves negligências em segurança por parte dos desenvolvedores dos aplicativos, mais de 400.000 dados privados dos usuários, mais de 43 milhões de mensagens e mais de 600.000 imagens e vídeos ficaram totalmente expostos a riscos na internet.
Instância de armazenamento sem proteção: portas abertas para os dados
De acordo com a investigação do Cybernews, a origem da vazamento foi uma instância do Kafka Broker não protegida, responsável por receber e armazenar todas as mensagens dos usuários. A equipe de pesquisa descobriu que essa instância não tinha nenhum controle de acesso ou autenticação, permitindo que qualquer pessoa que obtivesse o link acessasse todos os dados dos usuários diretamente.
Ainda que as informações vazadas não contenham informações de identidade direta, os endereços IP e os códigos únicos de dispositivos expostos podem ser usados por atacantes maliciosos para associar identidades específicas aos usuários, levando a extorsão ou assédio.
Risco de alto gasto e assalto a contas
Esses dois aplicativos são populares nas plataformas Android e iOS. O "Chattee Chat" chegou à posição 121 na lista de entretenimento da App Store da Apple, com estimativas de mais de 300.000 downloads. Os dados mostram que as interações dos usuários são extremamente frequentes, com uma média de 107 mensagens enviadas por usuário para o companheiro de IA.
No aspecto financeiro, os estudos mostram que alguns usuários tiveram gastos extremos em recargas de moeda virtual, chegando a US$ 1,8 milhão, e o total de receita pode ter ultrapassado US$ 1 milhão. Mais perigoso ainda é que os tokens de autenticação vazados permitem que os hackers assumam as contas dos usuários e roubar a moeda virtual, aumentando assim o risco financeiro dos usuários.
Aviso do evento: Aplicativos de companhia de IA precisam de regulamentação mais rigorosa
Após a descoberta do problema pelo Cybernews, os desenvolvedores fecharam imediatamente as instâncias relacionadas do Kafka Broker. No entanto, os pesquisadores alertam que ainda não é possível determinar se hackers já obtiveram esses dados antes.
