Falhas em web apps da Johnson & Johnson expuseram estudantes e acesso administrativo

Dois sistemas web da Johnson & Johnson foram comprometidos por falhas graves de autenticação. O primeiro, voltado para recrutamento em campi universitários, expôs dados de quase mil estudantes porque a biblioteca MSAL da Microsoft era manipulada no cliente e as APIs da AWS aceitavam uma chave hardcoded em vez de validar tokens. O segundo, o Audit Tracking Management System (ATMS), permitia acesso administrativo completo após spoofing simples de armazenamento local e geração manual de sessão, tudo porque suas APIs não exigiam autenticação real.

O ATMS, usado por 20 empresas do grupo J&J, devolvia listas com 13.600 funcionários sem qualquer verificação. O atacante simulou login de um admin encontrado na página de ajuda, injetou credenciais falsas no local storage e gerou um GUID de sessão via chamada direta à API. Em ambos os casos, a confiança cega no frontend, seja em tokens MSAL mal validados ou em chaves fixas, foi o ponto de falha central.

Esses vazamentos mostram como práticas básicas de segurança são ignoradas mesmo em grandes corporações. A exposição de estudantes pode levar a ataques de engenharia social direcionados. Já o acesso ao ATMS colocava em risco informações sensíveis de auditoria de múltiplas subsidiárias, incluindo transcrições e processos internos. Mais grave: a demora de seis meses para corrigir o problema no ATMS, só resolvida após pressão da imprensa, indica falha no processo interno de resposta a incidentes, um retrocesso claro em relação ao bom histórico da empresa em 2024.