Thread by @felipepayao

Não é possível afirmar que o iFood foi "hackeado"

O que aconteceu, provavelmente, foi trabalho de um agente interno — de extrema-direita — segundo fonte anônima com conhecimento sobre a operabilidade do ifood.

Atualizando aqui:

tecmundo.com.br/seguranca/2279…

O nível da alteração não para em meros ataques políticos, mas vão até o inaceitável, como zombarias com o nome de Marielle Franco e a tresloucada alegação que "vacinas matam"

Por isso, não é necessário pânico como troca de senhas e cartões. Até pq o iFood não armazena cartões.

E você deveria ter uma senha única para o iFood rs 👀

Um dos prints coloca "Vacina Mata" e "Mariele de Franco Peneira" lado a lado (via @MrLawful)

O que indica possibilidade de ataque interno:
- indicação da fonte
- ataques políticos
- provavelmente sem ganho pessoal
- sem roubo de infos
- provável alteração em lote via xls ou csv

muitos pontos indicam para isso

iFood respondeu:

"6% dos estabelecimentos foram afetados. A empresa tomou medidas para sanar o problema e proteger os dados de restaurantes, consumidores e entregadores. Não há qualquer indício de vazamento da base de dados pessoais tampouco de dados de cartão de crédito"

info de um DEV anônimo:

"ifood tem um painel administrativo para os restaurantes, em alguns lugares o sistema não validava corretamente as informações, permitindo ao usuário editar por exemplo o pedido mínimo (campo até então bloqueado)" continua

"Acredito que usaram a mesma técnica para alterar o nome do restaurante. Imagino que se procurar com carinho, é sim possível encontrar endpoints abertos e enviar a requisição de alteração se dados. Tentei reportar isso para funcionários e canais, sem sucesso"

Recebi alguns prints indicando a possibilidade desse "ataque interno" ter sido realizado por meio de um acesso não autorizado.

Resumindo: roubaram login de um administrador e arrastaram fazendo alterações

É, confirmado:

Um ponto indicado pela @ninadhora que precisa de atenção: o nível de acesso para terceirizadas e o controle sobre isso. Empresas não costumam detalhar e, daqui pra frente, com rompantes políticos cada vez mais inseridos na sociedade, essa relação precisa de transparência.