O lapso de segurança do Shell Recharge expôs os dados dos motoristas de veículos elétricos

A gigante do petróleo Shell disse que está investigando depois que um pesquisador de segurança encontrou um banco de dados interno exposto vazando informações pessoais de motoristas que usam as estações de carregamento de veículos elétricos da empresa.

O pesquisador de segurança Anurag Sen encontrou um banco de dados on-line que continha quase um terabyte de dados de registro relacionados à Shell Recharge, a rede mundial da empresa de centenas de milhares de estações de carregamento de veículos elétricos, adquirida em parte da Greenlots em 2019. A Greenlots fornecia veículos elétricos (EV) cobrando serviços e tecnologia para clientes que operam frotas de veículos.

O banco de dados interno, hospedado na nuvem da Amazon, continha milhões de logs, disse Sen, incluindo detalhes sobre clientes que usaram a rede de carregamento de veículos elétricos. O banco de dados não tinha senha, permitindo que qualquer pessoa na internet acessasse seus dados a partir de seu navegador.

Os dados, vistos pelo TechCrunch, continham nomes, endereços de e-mail e números de telefone de clientes de frotas que usam a rede de carregamento de EV. O banco de dados incluía os nomes dos operadores de frota, que identificavam organizações – como departamentos de polícia – com veículos que recarregam na rede. Alguns dos dados incluíam números de identificação do veículo, ou VINs.

Sen disse que o banco de dados também continha as localizações das estações de carregamento de EV da Shell, incluindo pontos de carregamento residenciais privados. Um dos registros expostos vistos pelo TechCrunch continha um endereço residencial pertencente ao CEO da Greenlots, Andreas Lips.

Não está claro o que resultou na exposição pública do banco de dados ou por quanto tempo os dados permaneceram públicos – embora algumas das informações sejam tão recentes quanto 2023.

Sen disse que entrou em contato com a Shell depois de descobrir o banco de dados exposto. O TechCrunch alertou a Shell depois que Sen disse que não teve retorno da empresa. Pouco tempo depois que o TechCrunch contatou a Shell, o banco de dados ficou inacessível.

A porta-voz da Shell, Anna Arata, disse ao TechCrunch em um comunicado: "A Shell tomou medidas para conter e identificar uma exposição dos dados da Shell Recharge Solutions. Estamos investigando o incidente, continuamos monitorando nossos sistemas de TI e tomaremos as ações necessárias no futuro".

Sen já havia encontrado dados expostos pertencentes à Amazon, Hotai Motor, PeopleGrove e JusTalk. No início deste ano, Sen descobriu um banco de dados contendo e-mails militares dos EUA pertencentes ao Comando de Operações Especiais dos EUA.

E-mails confidenciais de militares dos EUA vazam online