Vulnerabilidade Crítica na Plataforma My Eicher Permitiria Controle Total de Frotas

A falha na plataforma My Eicher, uma ferramenta telemática crucial para a gestão de frotas na Índia, expôs uma vulnerabilidade crítica de segurança. Pesquisadores identificaram APIs internas desprotegidas, sem qualquer autenticação, que permitiam acesso a uma vasta gama de dados sensíveis. Isso incluía informações de centenas de milhares de clientes, usuários, veículos e até o histórico completo de OTPs (senhas de uso único) desde 2021.

A brecha possibilitava um ataque de controle de conta, no qual invasores poderiam correlacionar números de celular com OTPs, redefinir senhas e, consequentemente, assumir o controle remoto de frotas inteiras de caminhões e ônibus. O mais grave: 76 mil documentos de identidade, como Aadhaar cards e carteiras de motorista, foram expostos. A simplicidade da descoberta, baseada em endpoints abertos, ressalta a importância de uma governança rigorosa de APIs, uma lição que reverberou em outras exposições recentes, como a do aplicativo de oração do Vaticano, noticiada pelo CEVIU em 27 de julho de 2026, ou as falhas em portais do governo indiano, em 1 de julho de 2026, que também expuseram dados sensíveis.

A jornada da vulnerabilidade My Eicher começou com a tentativa de pesquisadores em localizá-la em inícios de 2024. A descoberta efetiva só veio em 2025. O que era uma falha oculta e explorável na plataforma se tornou uma preocupação reportada em 3 de novembro de 2025. A boa notícia é que, em 20 de novembro de 2025, a vulnerabilidade principal já estava corrigida. Agora, em 28 de julho de 2026, a divulgação pública do caso traz luz a um problema resolvido, mas que serve de alerta sobre a segurança de APIs e dados sensíveis. É um ciclo de detecção, correção e aprendizado.

Para empresas de logística e frotas, a notícia da falha My Eicher é um lembrete severo da criticidade da segurança telemática. O controle remoto e rastreamento de veículos, embora convenientes, expõem a um risco significativo de interrupção operacional e roubo de ativos, similar aos riscos discutidos na matéria do CEVIU de 23 de julho de 2026 sobre a falha em alarmes automotivos KARR. A exposição de documentos de identidade e dados pessoais para milhões de usuários levanta questões sérias sobre privacidade e conformidade regulatória. Este caso reforça a necessidade de auditorias de segurança contínuas e da implementação de princípios de segurança desde o design da API, evitando que falhas simples abram portas para comprometimentos massivos.