O banco de dados, hospedado pela Amazon Web Services, ficou exposto e sem uma senha, permitindo que qualquer pessoa olhasse. No momento da confecção da matéria, o banco de dados tinha mais de 49 milhões de registros – mas estava crescendo a cada hora.
A partir de uma breve revisão dos dados, cada registro continha dados públicos extraídos de contas de influenciadores do Instagram, incluindo sua bio foto do perfil, o número de seguidores que eles têm, se eles são verificados e sua localização por cidade e país, mas também continham informações de contato privadas, como o endereço de e-mail e o número de telefone do proprietário da conta do Instagram.
A pesquisadora de segurança Anurag Sen descobriu o banco de dados e alertou o TechCrunch em um esforço para encontrar o proprietário e obter o banco de dados protegido. Rastreamos o banco de dados de volta à empresa de marketing de mídia social baseada em Mumbai Chtrbox, que paga os influenciadores para postar conteúdo patrocinado em suas contas.
Cada registro no banco de dados continha um registro que calculava o valor de cada conta, com base no número de seguidores, engajamento, alcance, curtidas e compartilhamentos que eles tinham. Isso foi usado como uma métrica para determinar quanto a empresa poderia pagar uma celebridade ou influenciador do Instagram para postar um anúncio.
O TechCrunch encontrou vários influenciadores de alto perfil no banco de dados exposto, incluindo importantes blogueiros de culinária, celebridades e outros influenciadores de mídias sociais.
Entramos em contato com várias pessoas ao acaso, cujas informações foram encontradas no banco de dados e fornecemos seus números de telefone. Duas das pessoas responderam e confirmaram que seu endereço de e-mail e número de telefone encontrados no banco de dados foram usados para configurar suas contas no Instagram. Nenhum deles teve envolvimento com o Chtrbox, eles disseram.
Pouco depois de entrarmos em contato, o Chtrbox desligou o banco de dados. Pranay Swarup, fundador e executivo-chefe da empresa, não respondeu a um pedido de comentários e a várias perguntas, incluindo como a empresa obteve endereços de e-mail e números de telefone privados da conta do Instagram.
Erro recorrente de segurança
O vazamento das informações vem dois anos depois que o Instagram admitiu que um bug de segurança em sua API do desenvolvedor permitia que hackers obtivessem os endereços de e-mail e números de telefone de seis milhões de contas do Instagram. Os hackers depois venderam os dados por Bitcoin.
Meses depois, o Instagram – agora com mais de um bilhão de usuários – sufocou sua API para limitar o número de solicitações que os aplicativos e desenvolvedores podem fazer na plataforma.
O Facebook, que é dono do Instagram, disse que estava investigando o assunto.
“Estamos analisando a questão para entender se os dados descritos, incluindo e-mail e números de telefone, são do Instagram ou de outras fontes”, disse um comunicado atualizado. “Também estamos perguntando com o Chtrbox para entender de onde esses dados vieram e como se tornaram disponíveis publicamente”, acrescentou.
Publicado originalmente em Tech Crunch, acesse o site para acompanhar os desdobramentos.
