14 falhas em portais do governo indiano expõem dados de estudantes e contas bancárias

Um pesquisador de cibersegurança do Dubai, Rylen Anil, identificou uma série de falhas críticas em sistemas governamentais da Índia. Ele não só apontou vulnerabilidades em portais de bolsas de estudo e do serviço público, mas também expôs brechas no portal de reexame da National Testing Agency (NTA) e no DigiLocker do CBSE. As falhas incluem bypass de login superadmin, uso de credenciais fracas e configurações de nuvem expostas, resultando no acesso a dados de milhares de estudantes e administradores. A exposição de informações pessoais (PII) é um risco enorme, facilitando ataques de phishing e fraude em massa.

Entre as descobertas mais preocupantes está a exposição de um diretório público em cdata.jeeadv.ac.in/result2026/ referente ao JEE Advanced 2026, acessível sem qualquer autenticação. Este incidente, junto com a falha de criptografia no DigiLocker do CBSE, onde a chave de criptografia estava em um arquivo JavaScript público, mostra uma negligência fundamental nas práticas de segurança. As vulnerabilidades, que incluem a possibilidade de exportar dados via CSV e gerenciar funções administrativas, expõem um grande volume de dados sensíveis e tornam os sistemas suscetíveis a manipulação da integridade dos exames.

A série de vulnerabilidades em plataformas críticas do governo indiano, especialmente as ligadas à educação e serviços públicos, mostra que a segurança digital ainda não é prioridade em muitos setores. Desde o vazamento de credenciais de VPN da Fortinet, que poderia afetar grandes infraestruturas, até as exposições em sistemas de admissão de faculdades que vimos em março (Sri Krishna College), o padrão é claro: falta de autenticação robusta e configurações seguras. A exposição de dados como números Aadhaar, contas bancárias e informações parentais, como no caso do National Scholarship Portal (NSP), cria um cenário propício para fraudes financeiras e roubo de identidade em uma escala massiva. Os usuários com menor literacia digital são os mais afetados.

A superficialidade na segurança desses sistemas, exemplificada pela presença de URLs de desenvolvimento em produção e configurações de nuvem abertas, não só compromete a privacidade dos cidadãos, mas corrói a confiança nas instituições digitais do governo. A detecção de credenciais comprometidas em sistemas como os da Johnson & Johnson, expostas por falhas simples de configuração, ecoa os problemas nos portais indianos. Isso demonstra que problemas básicos de segurança continuam a ser uma ameaça global, ressaltando a importância de auditorias constantes e a implementação de políticas de segurança mais rígidas.