A Asantee Games, uma empresa de desenvolvimento de jogos, expôs dados de mais de 14 milhões de jogadores devido a uma falha na definição de uma palavra-passe.

A Asantee Games é um pequeno estúdio de desenvolvimento de jogos fundado em 2012. O principal projeto da empresa é o jogo Magic Rampage, lançado em dezembro de 2013 e que foi descarregado mais de 10 milhões de vezes nas plataformas Android e iOS.

A investigação da Cybernews revela que a fuga de informação na empresa sediada no Brasil foi causada por uma má configuração do MongoDB, uma plataforma de base de dados orientada para documentos, deixando os dados da empresa sem palavra-passe e acessíveis ao público.

Os investigadores contactaram a empresa e o acesso à base de dados foi assegurado. A Cybernews contactou a empresa para comentar o assunto, mas ainda não obteve resposta.

Os dados divulgados incluem:

• Nomes de utilizador
• Correio eletrónico
• Dados dos dispositivos
• Estatísticas dos jogadores
• Credenciais de administrador com palavras-passe encriptadas

A fuga desses dados representa riscos para os utilizadores, uma vez que podem ser utilizados para vários vetores de ataque. Os nomes de utilizador e os e-mails expostos podem ser explorados por agentes maliciosos para roubo de identidade, cometer fraudes ou criar identidades falsas.
Os utilizadores afetados também podem ser alvo de ataques de phishing, em que os atacantes enviam mensagens de correio eletrónico enganadoras, fingindo ser entidades legítimas, para induzir os utilizadores a revelar informações sensíveis ou a instalar malware.

Com acesso às credenciais de administrador, os agentes maliciosos podem tentar obter acesso aos sistemas internos da empresa, causando danos adicionais e expondo potencialmente mais dados do utilizador.
Para mitigar os riscos de tais incidentes, é essencial configurar sempre mecanismos de autenticação para controlar o acesso às bases de dados MongoDB. Também é importante utilizar a encriptação para proteger os dados em trânsito e em repouso.

Fonte: Cybernews.com