Exposição de dados da Indian Railways em 2019
A exposição de dados da Indian Railways em 2019 envolveu informações deixadas acessíveis em um banco de dados desprotegido do Google Firebase, associado por um registro verificado de vazamento ao nome Indian Rail e ao domínio indianrails.in.
Tipos de dados expostos
3- Endereços de e-mail
- Senhas
- Nomes de usuário
Sobre este vazamento
O índice informa 583.377 endereços de e-mail únicos. A divulgação da pesquisa documenta aproximadamente 247 MB contendo 2.357.684 linhas com endereços de e-mail, nomes de usuário e senhas em texto simples. São unidades de contagem diferentes: os números não são somados, e a quantidade de linhas não é apresentada como um total de pessoas distintas.
O artigo da pesquisa descreve o banco de dados Firebase configurado incorretamente, os campos de dados e o processo de divulgação, sem identificar a organização afetada. A associação com a Indian Railways vem do registro verificado de vazamento vinculado ao artigo, e não do artigo por si só. Essa distinção na atribuição é importante: o texto anonimizado da pesquisa não deve ser interpretado como uma declaração da própria organização que, por si só, a identifique.
O que a cronologia permite afirmar?
Segundo a divulgação, jornalistas começaram a tentar entrar em contato com a organização em 28 de outubro de 2019; um serviço de apoio à divulgação recebeu o caso em 29 de novembro, conseguiu contato com o desenvolvedor do aplicativo em 30 de novembro e comunicou a correção do problema em 7 de janeiro de 2020. A data de 28 de outubro no registro marca o início das tentativas de contato, não uma data comprovada de abertura do banco de dados ou de download não autorizado. As fontes públicas não esclarecem o período inicial da exposição nem se alguém usou os dados indevidamente.
Quais informações estavam presentes e o que os usuários podem fazer?
Os campos confirmados são endereços de e-mail, nomes de usuário e senhas em texto simples. As fontes não listam cartões de pagamento, contas bancárias, documentos de identificação oficiais ou informações de saúde, nem estabelecem que cada linha representava uma pessoa distinta. Se a senha exposta, ou uma semelhante, ainda estiver em uso em outra conta, substitua-a imediatamente por uma senha exclusiva, ative a autenticação multifator e analise as sessões que você não reconhece. Uma correspondência de endereço de e-mail não identifica uma viagem ou passagem de trem específica de uma pessoa, nem comprova que uma conta atual esteja comprometida hoje.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
