Nuvem da Oracle: vazou ou não?

Vazou ou não a nuvem da Oracle? No final de semana, correu o mundo a notícia de que um hacker teria vazado 6 milhões de informações relativas a clientes da gigante de tecnologia. A Oracle reagiu rápido, afirmando que não houve qualquer violação.

Agora, a versão da empresa está sendo colocada em dúvida por duas empresas de segurança que receberam uma amostra de 10 mil desses dados enviados pelo hacker. 

Uma delas, chamada Hudson Rock, bateu os dados com a sua base de clientes. 

Segundo relata o site The Register, três clientes da Hudson Rock disseram que os dados apresentados relativos à nuvem da Oracle eram deles. 

Um dos clientes disse que usuários com acesso a informações sensíveis estão no vazamento. Outro disse que os dados eram de ambientes de produção no ar desde 2023. e o terceiro disse que os IDs dos seus usuários batem com os da mostra e que eles estão sendo usados em ambientes de produção.

Já a empresa de segurança CloudSEK afirma que o lote de dados enviados pelo hacker inclui informações de 1,5 mil organizações, que pelo seu volume e a maneira como estão estruturadas seria “muito difícil de falsificar”, o que “reforça a credibilidade da tese de vazamento”. 

A CloudSEK acredita que o hacker pode ter usado a vulnerabilidade  CVE-2021-35587 do Oracle Access Manager, o que significaria que a Oracle não fez a correção nos seus servidores de um problema identificado por ela mesma.  

O que está em jogo agora é saber quem está falando a verdade.  

O hacker afirma ter chaves de segurança, credenciais criptografadas, entradas LDAP e outros dados. Ele também criou um arquivo de texto com o seu email em um servidor web da Oracle conectado a Internet, o que serviria como prova adicional. 

A Oracle negou isso frontalmente, dizendo que os dados publicados pelo hacker não eram da Oracle Cloud, e que nenhum cliente teve dados comprometidos. 

A Oracle ainda não se pronunciou sobre esses últimos desenvolvimentos do caso.