Uber: falha na autenticação por dois fatores deixa usuários vulneráveis

De acordo com uma publicação do ZDNet, um pesquisador de segurança digital indiano chamado Karan Saini teria encontrado uma forma relativamente simples de burlar a autenticação por dois fatores para login em contas do Uber, aquele sistema que pede a confirmação de um código enviado por SMS antes de dar acesso ao serviço pelo app ou mesmo na web. De acordo com o artigo, Saini teria descrito o bug à Uber, mas a empresa considerou o relato apenas “informativo”.

Esse relato não é particularmente severo e é provavelmente um problema conhecido

Isso quer dizer que, apesar de as informações de Saini serem úteis para a resolução do problema, a falha não precisava ser corrigida imediatamente. “Esse relato não é particularmente severo e é provavelmente um problema conhecido”, disse Rob Fletcher, gerente de engenharia de segurança na Uber, em email enviado a Saini.

Em contato com o ZDNet, Saini questionou a utilidade da autenticação por dois fatores no Uber quando essa ferramenta não é utilizada para gerar mais segurança para o usuário. De acordo com ele, se você sabe que o seu sistema de autenticação por dois fatores tem uma falha fundamental, não há finalidade de tê-lo em seu serviço. Ferramentas como essa são utilizdas para prevenir que usuários tiveram senhas roubadas ou vazadas tenham suas contas comprometidas

Considerados suspeitos

Contatado pelo veículo, o líder da equipe de engenharia de segurança da Uber explicou que esse sistema de autenticação não é utilizado em todas as tentativas de login na plataforma. “Usamos isso apenas quando determinados pedidos de login são considerados suspeitos, e esta não é uma configuração usada em todos os dispositivos”, explicou. Fletcher ainda afirma que a Uber utiliza um sistema de inteligência artificial para determinar quando é necessário solicitar uma autenticação de dois fatores.

Aparentemente, a Uber ainda não conseguiu resolver a falha em questão, e problema pode ter a ver com testes que a empresa vem realizado na recuperação de contas de usuários que perderam seus smartphones e, por isso, não conseguem receber SMS com códigos de confirmação. A Uber também admitiu que recebeu múltiplos relatos dessa falha em específico e, por isso considerou o reporte de Saini “informativo”. Não há informações quanto a um prazo para resolução do problema.