Em julho, a plataforma de apoio a startups do governo da Coreia do Sul, Modu-ui Changup (모두의창업), sofreu um vazamento de dados. O caso acabou revelando uma falha crítica na gestão de chaves de criptografia, mostrando como informações criptografadas ainda podem ficar expostas quando a proteção dessas chaves é negligenciada.
A plataforma dá suporte a um programa nacional de seleção de startups supervisionado pelo Ministry of SMEs and Startups (MSS), da Coreia do Sul, e armazena dados pessoais dos participantes, incluindo ideias de negócios, endereços de e-mail e nomes.
Um mês antes do vazamento reportado, já havia preocupações de que as informações pessoais dos candidatos pudessem ser estruturadas e expostas por meio de respostas de API dentro da plataforma. O governo afirmou ter adotado medidas imediatas, mas não informou se a arquitetura de segurança do sistema havia sido aprimorada.
Em 18 de junho, o Ministry of SMEs and Startups anunciou que informações pessoais e resumos de ideias de negócios haviam sido vazados. Em seguida, iniciou uma investigação detalhada em conjunto com o National Intelligence Service, o Cyber Security Center e a National Police Agency.
Em 31 de julho, as autoridades confirmaram que a causa decisiva do vazamento de dados pessoais e ideias de startups foi a exposição de uma chave de criptografia por meio de uma API.
Os dados vazados já haviam sido criptografados. No entanto, dados criptografados precisam de uma chave de criptografia para serem decifrados.
Neste incidente, a chave de criptografia foi exposta junto com os dados da API, o que levou à divulgação de endereços de e-mail, comentários de avaliação e resumos de ideias de negócios pertencentes a cerca de 5.000 candidatos aprovados.
O Ministry of SMEs and Startups explicou que a chave de criptografia estava incluída na API. Segundo a pasta, uma parte externa coletou dados da API por métodos como web crawling, o que acabou expondo a chave.
Em especial, endereços de e-mail configurados como privados não apareciam na interface pública. Ainda assim, os investigadores concluíram que essas informações puderam ser obtidas por meio de web crawling com IA.
O caso também evidencia os riscos de inserir chaves de criptografia como valores fixos no código da aplicação, em arquivos de configuração, bancos de dados ou ambientes semelhantes.
Quando organizações adotam essa prática, as próprias chaves podem ficar expostas junto com os sistemas ou dados que deveriam proteger. Em outras palavras, a causa fundamental deste incidente pode ser vista como uma arquitetura de segurança que falhou ao não incorporar uma gestão adequada de chaves de criptografia.
As autoridades identificaram 39 endereços IP envolvidos no acesso às informações vazadas, todos originados na Coreia do Sul. Elas também informaram que as investigações continuavam para apurar outros detalhes, inclusive possíveis vínculos com provedores de soluções de IA.
Como neste caso, quando uma chave de criptografia é exposta externamente, simplesmente revogar a chave comprometida e emitir uma nova não basta. As organizações também precisam recriptografar todos os dados já protegidos pela chave comprometida e analisar os logs de acesso à chave para determinar a extensão total da violação.
Além disso, é necessário reavaliar as permissões de acesso em APIs, servidores e sistemas internos de armazenamento. As empresas também devem notificar os titulares afetados e implementar monitoramento contínuo.
Depois que uma chave de criptografia é comprometida, as organizações podem precisar investir tempo e recursos consideráveis para redesenhar sua arquitetura de segurança.
Como mostra o vazamento na plataforma de startups do governo sul-coreano, a criptografia por si só oferece pouca proteção real se a organização não separar as chaves de criptografia dos dados que elas protegem. Sem uma gestão segura de chaves de criptografia, as informações criptografadas permanecem expostas.
Se uma chave de criptografia for comprometida, um atacante pode ganhar a capacidade de acessar dados do sistema em tempo real. Além disso, pode ser capaz de se passar por usuários legítimos e assumir o controle do sistema. A eficácia da criptografia de dados depende diretamente da segurança da gestão de chaves.
Para que a criptografia ofereça proteção de verdade, as organizações devem armazenar as chaves de criptografia em um Sistema de Gerenciamento de Chaves, ou KMS, dedicado, fisicamente ou logicamente separado de bancos de dados e aplicações.
As aplicações devem solicitar acesso a uma chave no KMS apenas quando precisarem ler ou processar dados protegidos. Elas não devem armazenar a chave por conta própria.
A criptografia também é essencial para atender exigências regulatórias como o GDPR, o Cyber Resilience Act (CRA) e o HIPAA. No entanto, uma gestão inadequada de chaves pode permitir que dados criptografados sejam decifrados imediatamente após o comprometimento de uma chave, reduzindo a eficácia da criptografia e impedindo que as organizações alcancem o nível de conformidade regulatória pretendido.
Por isso, organizações que buscam atender requisitos globais de segurança e conformidade devem considerar soluções de cibersegurança de fornecedores especializados, como a Penta Security, que tem ampla experiência em criptografia e gestão de chaves de criptografia.
A D.AMO, plataforma de segurança de dados da Penta Security, oferece proteção baseada em criptografia com gestão segura de chaves e controle de acesso, com o respaldo de quase 30 anos de experiência em cibersegurança. A D.AMO fornece recursos integrados de criptografia, controle de acesso, backup e recuperação em toda a infraestrutura da organização, incluindo ambientes locais e cloud.
A plataforma de segurança de dados da Penta Security já foi implementada por mais de 10.000 clientes em setores como finanças, governo e iniciativa privada. Seu histórico amplo de implantação e sua expertise técnica demonstram a confiabilidade da plataforma.
Além disso, a D.AMO pode aplicar algoritmos de criptografia pós-quântica padronizados pelo NIST na gestão de chaves, ajudando as organizações a preparar sua arquitetura de segurança de dados para a era da computação quântica.
O D.AMO Key Management System, ou D.AMO KMS, separa fisicamente e logicamente as chaves de criptografia e decifragem dos dados que elas protegem.
Além disso, ele gerencia todo o ciclo de vida das chaves e executa verificações de integridade dos logs, permitindo que as organizações investiguem rapidamente atividades relacionadas a chaves quando ocorre um incidente de segurança.
Se a D.AMO tivesse sido implementada na plataforma de startups do governo sul-coreano, o vazamento causado pela gestão inadequada das chaves de criptografia poderia ter sido evitado.
Empresas e instituições públicas precisam mudar sua abordagem de segurança de dados, saindo da resposta após o incidente e avançando para a prevenção proativa. Mais importante ainda, devem proteger dados sensíveis com criptografia forte e gestão centralizada e segura de chaves de criptografia.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...