Maior Empresa de Cibersegurança da China Vazou Acidentalmente uma Chave SSL em Instalador Público

A Qihoo 360 não só vazou uma chave SSL privada wildcard, ela expôs o coração da confiança digital de sua própria infraestrutura. O certificado, emitido pela WoTrus CA (subsidiária da própria empresa), cobre todos os subdomínios de myclaw.360.cn e estava embutido no instalador do '360 Security Lobster', um wrapper comercial para o OpenClaw. Qualquer pessoa com acesso ao pacote podia extrair a chave em segundos, usando ferramentas como strings ou 7z, pois estava armazenada em texto claro no caminho /namiclaw/components/OpenClaw/openclaw.7z/credentials. Isso não é um erro de configuração isolado: é uma falha crítica de ciclo de vida de segredos, a chave foi gerada, integrada e distribuída sem rotação, sem proteção e sem validação de integridade.

O risco prático vai além da teoria: com essa chave, um atacante pode forjar certificados válidos para qualquer subdomínio de myclaw.360.cn, descriptografar tráfego TLS entre usuários e servidores da Qihoo, injetar código malicioso em atualizações de IA, ou sequestrar sessões de agentes em tempo real. E como a WoTrus CA já foi desconfiada por navegadores após sucessivas falhas de emissão, herança direta da WoSign , , a credibilidade do próprio ecossistema de certificação da empresa está sob escrutínio imediato.

Empresas de cibersegurança são avaliadas não apenas pelo que vendem, mas por como protegem seus próprios segredos. A Qihoo 360 tem 460 milhões de usuários e uma avaliação de US$ 10 bilhões, mas este vazamento mostra que sua postura operacional não acompanha seu porte. Um certificado wildcard com chave privada em um instalador público é uma violação grave das boas práticas de DevSecOps, como o uso de secrets managers, scanning de código-fonte e validação de artefatos antes da liberação. Para clientes corporativos e governamentais que dependem de soluções da Qihoo, o incidente levanta dúvidas concretas sobre a integridade de atualizações, a confiabilidade de canais de comunicação e a segurança de dados processados por ferramentas baseadas no 360 Security Lobster.