A falha identificada no sistema utilizado pela Caixa Seguradora para registrar a ocorrência de sinistros foi encontrada pelo analista e desenvolvedor web, Valter Ferlete, o qual é cliente do serviço da Caixa Econômica Federal (CEF). A vulnerabilidade localizada acaba expondo dados sigilosos de clientes.

De acordo com Ferlete, a vulnerabilidade foi encontrada por ele, através de um link específico de fácil acesso, o qual não foi informado pelo analista por questões de segurança, o qual é utilizado internamente para o gerenciamento do processo de sinistro e armazenamento de documentos digitalizados do seguro.

Ainda segundo ele, o acesso a este link é público, podendo ser acessado por qualquer pessoa, sem exigência de senha para ter acesso. O endereço terminaria com uma sequência numérica que é utilizada para identificar determinado consumidor. Porém, o grande problema é que ao trocar os dígitos por outros números é possível ter acesso a outros sinistros de outros clientes, passando a visualizar dados do RG, CPF, CNH (Carteira Nacional de Habilitação), comprovantes de endereço, aos boletins de ocorrência onde constam números de celular, endereços de e-mail, conseguindo até mesmo fazer o download de documentos digitalizados.

Vulnerabilidade dava acesso a todos as informações do sinistro
Vulnerabilidade dava acesso a todas as informações do sinistro

O sistema da Caixa Seguros é gerenciado por uma empresa parceira da companhia, contratada para oferecer esse tipo de serviço. Contudo, foi descoberto que esse sistema não passa de uma solução pronta, batizada de First One e vendida pela Trend Consulting, focada no mercado de seguros.

A assessoria de imprensa da Caixa Seguradora se manifestou dizendo "Esclarecemos que a fragilidade apontada na matéria não ocorreu no site da seguradora, mas em um link específico enviado por empresa parceira para acompanhamento de sinistros de uma quantidade limitada de clientes. O caso foi resolvido imediatamente. Agradecemos o alerta e ressaltamos que dispomos de mecanismos de segurança para proteção dos dados de nossos clientes."