Marcar a recolha de uma peça de mobiliário parece um procedimento banal. No entanto, exige uma conta, dados de contacto e uma plataforma digital. Em Grand Paris Grand Est, no departamento de Seine-Saint-Denis, este serviço está no centro de um incidente de segurança noticiado a 5 de novembro pelo Cyberattaque.org, com base numa notificação enviada a utentes.
Segundo o documento descrito pelo meio de comunicação, uma falha detetada a 28 de setembro na Wastreet, plataforma utilizada pelo prestador SEPUR, permitiu o acesso não autorizado a dados. Foram afetados endereços de correio eletrónico e números de telefone; os nomes próprios, apelidos e moradas são apresentados como não tendo sido afetados. Não foi divulgado o número de utentes atingidos.
Um serviço público, vários intervenientes
As condições de utilização do serviço de marcação identificam a Wastreet como a entidade que desenvolve e gere a plataforma. Distinguem o site de marcação do prestador responsável pela recolha. Assim, o percurso proposto ao cidadão liga um serviço local a vários intervenientes.
Esta organização não constitui, por si só, prova de uma falha de segurança. Explica, porém, por que razão o nome apresentado para um serviço público não basta para identificar todos os sistemas envolvidos. Para o utente, o pedido corresponde a uma única marcação. Por detrás do ecrã, a conta, as comunicações e a intervenção no terreno podem estar sujeitas a responsabilidades diferentes.
Por isso, quando é anunciado um incidente, o essencial é perceber que serviço específico está em causa. Um alerta relativo a uma plataforma de marcações não permite concluir que todas as ferramentas da autarquia, nem todas as atividades do seu prestador, tenham sido comprometidas.
Dados solicitados e dados expostos: duas listas diferentes
O formulário de inscrição descrito nas condições de utilização pede o nome próprio, o apelido, o endereço de correio eletrónico, o telefone e a morada. A marcação inclui depois informações sobre os objetos a recolher e o local de recolha. Estes dados têm uma finalidade prática: organizar a recolha e poder contactar o utilizador.
Mas esta lista descreve o funcionamento normal do serviço. Não é um inventário dos elementos a que um terceiro teve acesso. Num caso de fuga de dados, confundir as duas coisas equivale a transformar toda a informação confiada a uma entidade em dados necessariamente comprometidos.
Neste caso, é preciso manter o âmbito mais restrito indicado na notificação noticiada. Isso não elimina o risco associado aos dados de contacto; evita, sim, acrescentar-lhe dados cuja exposição não foi comunicada.
Uma correção não responde a todas as perguntas
Ainda segundo o Cyberattaque.org, a notificação indica que a falha foi corrigida e que as palavras-passe foram repostas. Esta medida não prova, por si só, que as palavras-passe tenham sido roubadas. O documento noticiado também não permite concluir que os dados tenham sido divulgados publicamente.
A data de 28 de setembro corresponde à deteção. Não deve ser apresentada como a data certa do primeiro acesso. A identificação de uma vulnerabilidade, a sua correção e a compreensão do que foi consultado são questões distintas. O utente precisa de um balanço claro, não de uma data única que dê artificialmente a impressão de que se conhece toda a sequência dos acontecimentos.
O risco prático: uma mensagem que parece vir do serviço certo
O Cybermalveillance.gouv.fr explica que uma fuga de dados de contacto pode servir de base a mensagens, SMS ou chamadas fraudulentas. O risco não exige que um burlão tenha acesso a um dossier pessoal completo: um contexto credível pode ajudar a convencer alguém a aceitar um pedido invulgar.
Uma mensagem falsa sobre uma marcação para recolha seria, por exemplo, um cenário a ter em conta. É uma possibilidade de fraude, não uma campanha detetada neste caso. O procedimento útil mantém-se: procurar o serviço através dos seus contactos oficiais e confirmar o pedido antes de transmitir informações ou seguir uma ligação.
O dispositivo nacional recomenda também que se leia atentamente a notificação para identificar os dados em causa, que se utilizem palavras-passe diferentes e que se ative uma autenticação adicional quando o serviço a disponibiliza. Estas medidas reduzem alguns riscos; não tornam irrelevante a exposição inicial.
O que um utente pode verificar
Três perguntas permitem ler uma notificação sem dramatizar nem minimizar: a minha conta está entre as contas afetadas, que informações são citadas especificamente e que procedimento me é pedido? Se a mensagem continuar ambígua, é preferível pedir esclarecimentos à entidade a tirar uma conclusão apenas com base no título de um artigo.
A segurança dos procedimentos do dia a dia também se joga aqui: na capacidade de dar uma resposta precisa a cada utente. O incidente recorda que um serviço prático e pouco visível, como a recolha de monos, merece a mesma atenção aos acessos e aos dados que uma aplicação muito mais conhecida.
Fotografia ilustrativa: objetos volumosos num passeio em Düsseldorf. Esta imagem não mostra uma recolha de Grand Paris Grand Est.
