Se você tem o app do Globoplay, o serviço de streaming da Globo, instalado no seu smartphone, provavelmente recebeu uma mensagem esquisita na madrugada deste domingo (17). No caso, um grupo identificado como Ourmine diz que hackeou o app do serviço e ainda pediu para que as pessoas tuitassem com uma hashtag “#GloboHack” para comentar o incidente.

Posteriormente, o Globoplay enviou uma notificação explicando que a “plataforma de envio de notificações foi usada indevidamente”. Em contato com o Gizmodo Brasil, a assessoria de comunicação do Globoplay negou maiores problemas na segurança do serviço.

Confesso que quando recebi a mensagem em meu smartphone, pensei que era uma notificação de alguma série ou filme novo que passou a fazer parte da plataforma de streaming, porém parece que foi um hack mesmo. Aparentemente, eu não fui o único:

A notificação enviada pelo app dizia:

HACKED BY OURMINE – Hackeado por OurMine
Contact us for better security: contact@ourmine.org —————— Let’s Get #GloboHack Trending on Twitter —————— Vamos ficar #GloboHack em alta no Twitter [sic]

Ao abrir o app, aparecia uma versão dessa mensagem só que menor, apenas com o texto em inglês e sugerindo que as pessoas tuitassem sobre o hack.

Notificação hackeada exibida no app Globoplay

À essa altura fica difícil saber se houve comprometimento de dados dos usuários ou se foi apenas a exploração de uma brecha de segurança no sistema de notificações do Globoplay. O fato é que a plataforma estava funcionando normalmente, exibindo vídeos e propagandas.

Por volta das 2h50 da madrugada, o próprio aplicativo enviou uma nova notificação para tranquilizar os usuários do Globoplay:

Fique tranquilo!
Ignore as mensagens anteriores. A plataforma de envio de notificações foi usada indevidamente, mas todos os seus dados continuam protegidos e não há risco ao usar o Globoplay.

A assessoria de comunicação da Globo posteriormente enviou uma nota ao Gizmodo Brasil dizendo que não houve invasão, e que o único problema ocasionado pelos invasores foi o envio de notificações push. Abaixo, a íntegra:

1 – Nenhum sistema da Globo ou do Globoplay foi invadido. A falha de segurança se limitou ao sistema da empresa parceira responsável pelo envio de push notifications;

2 – Nenhuma informação dos usuários, assinantes ou não, foi comprometida. O sistema de push notifications não se conecta com os bancos de dados dos nossos usuários e nem a qualquer outro sistema. Os invasores se limitaram a enviar as mensagens para toda a base, no que se chama tecnicamente de broadcast push, sem que os destinatários tenham sido individualizados.

3 – Não existe qualquer risco em usar o Globoplay, em qualquer plataforma. Não é necessário desinstalar o aplicativo nem trocar senha.

4 – Os usuários devem deletar as notificações cujo texto começa com  “Hacked by…”. Essas notificações direcionam o usuário para o site do grupo invasor.

5 – A Globo e o Globoplay levam a segurança de seus clientes e usuários muito a sério. Reconhecemos o inconveniente causado, mas reforçamos: nenhum dado de nossos usuários foi comprometido. O incidente se limitou a um sistema periférico e a uma única conta, já identificada e eliminada.

6 – Vamos trabalhar internamente e junto a nossos parceiros para reforçar medidas de segurança que minimizem os riscos de novos incidentes.

Por coincidência ou não, um grupo hacker identificado como Ourmine fez vários ataques a serviços de streaming nos últimos anos. No passado, eles já invadiram a conta do Twitter da Netflix, da HBO e disseram ter roubado dados da plataforma Vevo, uma joint venture entre Universal Music Group, Sony Music Entertainment, Abu Dhabi Media, Warner Music Group e Alphabet Inc. (a empresa mãe do Google).

Acessando a página do domínio do grupo hacker, o sites deles informa que eles são hackers white hat, portanto dizem não ter más intenções, mas apenas mostrar problemas de segurança e privacidade. Inclusive, o site deles diz que estão com promoção para execução de hackings, o que dá a entender que isso na verdade parece ser uma forma de promover o trabalho deles.

Atualizado às 10h25 deste domingo (17) com o posicionamento do Globoplay