Gigantes da tecnologia correm para bloquear 8 certificados da eMudhra que poderiam permitir sites falsos

Gigantes da tecnologia implementaram bloqueios emergenciais contra oito certificados digitais vulneráveis que poderiam permitir que invasores se passassem por sites legítimos.

Até terça-feira, desenvolvedores de navegadores e outras grandes empresas de tecnologia haviam implementado proteções contra oito certificados intermediários emitidos pela autoridade certificadora eMudhra Limited, sediada na Índia, depois de descobrirem que suas chaves privadas não eram suficientemente seguras. 

O engenheiro de criptografia da Mozilla, Dennis Jackson, escreveu em um relatório do incidente que a Mozilla recuperou as chaves privadas de forma independente quando recebeu pela primeira vez o aviso sobre a falha no sábado, confirmando que o processo de geração de chaves era “defeituoso” e “trivial de explorar”. 

Um invasor que intercepte a conexão de um usuário poderia usar certificados fraudulentos para se passar por um site legítimo e potencialmente ler ou alterar as informações trocadas, segundo a Mozilla.

Embora muitas empresas tenham bloqueado rapidamente os certificados afetados, a ameaça permanece para aplicativos e sistemas que não recebem esses bloqueios automaticamente.

Em uma publicação de blog na terça-feira, a equipe de segurança do Mozilla Firefox disse que recebeu o relatório no sábado e respondeu bloqueando os certificados afetados no Firefox por meio do OneCRL, concluindo o processo no mesmo dia. Em seguida, lançou uma atualização para seu navegador no desktop e no Android, protegendo usuários com configurações personalizadas que os impediam de receber a atualização do OneCRL. 

A Cloudflare disse que tomou conhecimento do relatório na segunda-feira e lançou atualizações para seus clientes Cloudflare One e WARP e para o Cloudflare Tunnel na terça-feira, juntamente com medidas de mitigação em seus serviços. 

Jackson disse que os certificados também foram bloqueados no Chrome desde sábado, em dispositivos Apple desde segunda-feira e em plataformas Microsoft desde terça-feira.

“O problema foi divulgado de forma responsável aos repositórios de confiança downstream em 19 de outubro. Muitos já lançaram atualizações ou estão em processo de lançá-las”, disse ele. 

Relacionado: Hack da Hugging Face expõe o paradoxo da cibersegurança da IA de pesos abertos

Jackson disse que não há evidências de que Firefox, Chrome, Edge e Safari tenham sido atacados dessa forma, pois não havia entradas nos registros de transparência de certificados para os certificados intermediários desde abril de 2025. 

“No entanto, muitos clientes fora do ecossistema dos navegadores não aplicam a Transparência de Certificados. Não sabemos se invasores exploraram a geração defeituosa de chaves para atingir esses clientes”, disse ele. 

O incidente lembra uma violação da DigiNotar em 2011, um grande ataque cibernético no qual hackers comprometeram a autoridade certificadora holandesa, emitindo 531 certificados SSL fraudulentos. 

Os certificados fraudulentos permitiram que agentes de ameaça se passassem pelo Google e espionassem aproximadamente 300.000 contas iranianas do Gmail.

Revista: Agentes podem negociar 24/7 — mas Yat Siu alerta que você pode perder o acesso a qualquer momento