Deixando de lado a discussão sobre o uso da mensagem religiosa, a ideia da empresa é desejar feliz aniversário aos usuários. Até aí, tudo bem. Contudo, no email em que ela deseja feliz aniversário, ela também envia o login e a senha do usuário.
A empresa possui, segundo seu site, 5 milhões de currículos cadastrados. Se esse número é verdadeiro, representa algo como 4% da população em idade de trabalho no Brasil.
Os vários erros da empresa que expõem esses 5 milhões de usuários:
1 – Enviar em um mesmo email informações sobre login e senha do usuário. É como carregar a senha do cartão de crédito na carteira onde está o cartão. Só que pior: quando você carrega tais dados na carteira, a escolha é sua; você assumiu o risco. No caso acima, a empresa escolheu por você. Ela impôs o risco a você.
2 – Enviar um email relembrando o usuário sobre seu login e senha sem que tenha sido solicitado. Apenas o usuário sabe quando tal senha deve ser solicitada. A empresa quer que os usuários acessem seu site (mais importante que o número de usuários, é o número de usuários ativos). Mas ela deve contrabalançar seus interesses econômicos com o risco a que está expondo os usuários.
3 – Ao agir assim, a empresa se esquece que contas de email são abandonadas constantemente e outras pessoas podem passar a usá-las. Serviços de email populares como Hotmail possibilitam que novos usuários se apropriem de antigos logins que já não são usados há algum tempo (no caso do exemplo acima, a conta já não pertencia ao usuário original, mas a um homônimo).
4 – Outro problema é armazenar a senha em arquivo de texto. Esse é um ponto mais técnico, mas crucial: há basicamente duas formas de um site armazenar senhas: em arquivo texto (plain text), que é a mesma coisa que anotar a senha em um pedaço de papel e deixá-lo na mesa, ou criptografado, de forma que nem mesmo o dono do site consiga saber a senha (apenas o dono do login sabe). Essa segunda forma funciona mais ou menos como um cofre alugado pelo cliente no banco: o banco guarda o cofre, mas só o cliente sabe o que tem dentro da caixa. O banco apenas sabe se você tem a chave certa ou não. Se não tiver, o conteúdo da caixa não é seu e ele não te deixa ver. Se tiver, o conteúdo é seu e ele te deixa acessar.
Empresas responsáveis, obviamente, optam pela segunda opção; mas muitas empresas, por desconhecimento ou despreparo técnico, ou para pouparem dinheiro, ainda usam a primeira opção. Infelizmente, o usuário comum não tem como saber se a empresa age de forma responsável ou não apenas olhando de fora. Erros como o exemplificado acima acabam expondo como a empresa gerencia as senhas, mas o cliente só vai tomar conhecimento disso quando já é tarde demais. (A melhor alternativa é confiar apenas em empresas que sejam auditadas de forma independente e publiquem os relatórios da auditoria externa).
5 - Existe um segundo complicador de guardar senhas em arquivos textos: não são apenas hackers que podem ter acesso a elas: funcionários da empresa também podem. Dados sigilosos - como senhas - precisam ser mantidos seguros não apenas contra ataques externos, mas também internos.
6 – Ao errar nos 5 pontos acima, a empresa possibilitou que um potencial criminoso tenha acesso a todos os dados que estão no curriculum do usuário. Endereço, telefone, nome completo, data de nascimento, nome dos pais, filhos, carteira de identidade, motorista, escolas que frequentou, empresas nas quais trabalhou ou trabalha, e o que quer que o incauto usuário tenha posto em seu CV.
Com base nesses dados, e com um pouco de engenharia social, um criminoso consegue se fazer passar pelo dono da conta em outros serviços, como cartão de crédito etc.
7 – Mas o problema é muito mais grave: usuários comuns usam a mesma senha em diversos sites e serviços. Por exemplo, a senha usada nesse site pode ser a mesma que o usuário usa para acessar seu banco online. Agora temos um criminoso com acesso a todos os dados pessoais e a senha bancária da vítima. E provavelmente também à suas outras contas de email, redes sociais como Facebook etc.
O filme de terror está formado. Baseado em um inocente email de feliz aniversário.
O PeD entrou em contato com Cezar Tegon, presidente do Elancers, ontem pela manhã (10/10/12) para ouvir o outro lado, mas não recebeu resposta até o fim do dia.
Três dicas: primeiro, saiba sempre em quem você está confiando ao compartilhar seus dados: se não confia, não compatilhe. Segundo, separar emails entre sites que guardam conteúdo crítico (bancos, emails pessoais) e outro para sites que demandem email apenas para marketing. Terceiro, crie senhas distintas para serviços distintos. Se isso não é possível, tenha senhas distintas para serviços críticos e não críticos. E dentre os críticos, tenha uma senha para cada um. E não as misture. Não use a senha do banco – que é um serviço crítico – em um site de currículos. A senha do banco deve ser só para o banco, a do email pessoal só para o email pessoal.