Elas conseguiram obter nome, data de nascimento, CPF, estado civil, plano de associação, email, telefone, endereço completo e forma de pagamento, além do tamanho de camisa dos torcedores. Há também detalhes sobre cartões usados para acessar o estádio durante os jogos.
O site encontrou 44 mil membros ativos em um dos relatórios e 9.500 mil bloqueados em outro. Isso não significa que esses números representem o total de participantes do programa.
Embora os dados dos cartões de créditos dos associados não estejam entre as informações vazadas, a falha permitiu acesso a dados que podem dar a qualquer hacker a chance de aplicar golpes em associados do Avanti.
Podem, por exemplo, fazê-los acreditar que representam o programa de sócio-torcedor, os convencendo a fazerem pagamentos a uma conta corrente ou fornecerem número do seu cartão de crédito.
As informações do FutebolCard estavam armazenadas em um serviço de nuvem configurado como público e que poderia ser encontrado facilmente usando sites e ferramentas de busca gratuitas na internet. Bastaria que o usuário acessasse a URL correta para conseguir baixar os dados.
A The Hack é um portal de notícias brasileiro sobre segurança da informação e segurança cibernética. Já a ZDNet é um site que reúne notícias, análises e pesquisas sobre tecnologia.
Para Renato Leite Monteiro, fundador do Data Privacy Brasil, o maior prejuízo às instituições envolvidas na falha pode ser à imagem delas, uma vez que isso pode afetar as reputações. Elas também estão sujeitas a multas e penalidades.
Ele diz ainda que os titulares dos dados vazados podem ser indenizados em um processo na Justiça, caso consigam provar que houve prejuízo financeiro ou moral decorrente da falha.
“Outras teorias dizem que o mero vazamento de dados pessoais, o mero fato de uma organização não conseguir assegurar um ambiente seguro para os dados, já seria passível de uma indenização. Já existem decisões judiciais pelas quais seria possível pedir indenização pelo uso indevido, mesmo sem prova de dano efetivo”, explica.
Leite conta que até o Palmeiras pode ser acionado na Justiça, como responsável solidário. Ficaria isento, no entanto, caso comprovasse que não teve ingerência sobre os elementos que levaram o ambiente a não ser totalmente seguro.