Moveit: a falha em um único produto de transferência de arquivos que expôs milhares de empresas

Em maio de 2023, um produto chamado MOVEit Transfer, usado por milhares de organizações para enviar arquivos de forma segura, explorou uma falha grave que ainda não tinha correção. O nome do produto, o nome do atacante e o nome da campanha se misturaram, porque a falha foi usada em massa, por vários grupos, ao mesmo tempo.

O que tornava o caso grave era o que o produto fazia. O MOVEit era justamente a solução adotada por quem precisava transferir dados de forma controlada, muitas vezes por exigência de contrato ou de Compliance. A falha permitia a um atacante sem autenticação baixar arquivos diretamente do servidor onde a ferramenta rodava, sem precisar de credencial e sem deixar registro claro.

O estrago continuou crescendo por meses, e não por causa da falha em si, e sim pelo que foi feito depois. Empresas que perceberam a exposição removeram o produto, sem investigar o que já tinha sido acessado, e os dados continuaram circulando. Segundo levantamentos publicados depois, o número de-organizações afetadas foi muito maior do que o.initialmente divulgado, e boa parte só percebeu o problema quando a auditoria ou o cliente perguntou.

A lição é sobre a diferença entre fechar uma porta e saber o que passou por ela. Remover o produto é o primeiro passo. O segundo é preservar os registros de acesso, reconstruir o que foi baixado, avisar os afetados e comunicar o incidente com honestidade. E o terceiro é mais chato: revisar a lista de fornecedores, porque o risco de um produto de terceiro não acaba quando o contrato termina.