Uso de cookies para invadir o sistema de admissão de uma faculdade de tecnologia

A falha no SparK da SKCET não foi um erro isolado de programação, mas uma falha estrutural de design de autenticação: APIs expostas sem qualquer mecanismo de validação, nem tokens, nem sessões assinadas, nem verificação de origem, transformaram cookies em chaves mestras. Ao forçar dois valores simples (um booleano e um GUID extraído de uma resposta legítima), os pesquisadores contornaram todo o fluxo de login com e-mail + OTP. O que torna o caso crítico é a natureza dos dados acessados: além de notas e renda, havia números e cartões Aadhaar, documento nacional indiano equivalente ao CPF, mas com uso massivo em serviços públicos e privados. Isso amplifica o risco de fraude bancária, abertura indevida de contas e roubo de identidade em escala.

O incidente ocorreu sob o regime da DPDPA-2023, primeira lei federal de proteção de dados da Índia, que exige notificação imediata ao Conselho de Proteção de Dados e aos afetados. A demora entre a descoberta (agosto/2025) e a divulgação pública (março/2026) sugere que a faculdade priorizou a correção técnica sobre a transparência, prática comum, mas arriscada: a DPDPA prevê multas de até ₹250 crore (cerca de R$ 14 bilhões) por violação grave. E isso num setor já sob fogo: só em 2025, 2026, universidades dos EUA, plataformas como Canvas e sistemas hospitalares indianos sofreram vazamentos com padrão semelhante, APIs mal protegidas, credenciais roubadas via phishing e dependência excessiva de SSO frágeis.

Faculdades brasileiras usam sistemas semelhantes ao SparK, como o SIGAA, o SUAP ou plataformas privadas de admissão, muitos com integrações diretas a bases do INEP, Receita Federal e SUS. Se um cookie pode substituir um login com OTP na Índia, o mesmo vale para um token JWT mal validado ou um header 'X-User-ID' injetável no Brasil. Não há firewall que impeça isso: a falha está no código, não na rede. E o dado mais perigoso aqui não é o número do CPF, mas o conjunto, religião, renda, histórico médico e desempenho acadêmico, que permite perfis comportamentais detalhados para ataques de engenharia social ou discriminação algorítmica futura.