Mastercard corrige erro de DNS despercebido por quase 5 anos
A falha nas configurações de DNS poderia ter permitido a interceptação ou o desvio do tráfego de internet da empresa por meio do registro de um nome de domínio não utilizado. De 30 de junho de 2020 até 14 de janeiro de 2025, um dos principais servidores de internet que a Mastercard usa para direcionar o tráfego para partes da rede “mastercard.com” foi incorretamente nomeado. Todos os nomes de servidores DNS da Akamai utilizados pela Mastercard deveriam terminar em “akam.net”, mas um deles foi configurado erroneamente para depender do domínio “akam.ne”.
O pesquisador que descobriu a falha, Philippe Caturegli, disse que imaginou que ninguém havia registrado ainda o domínio “akam.ne”, pertencente à autoridade de domínio de nível superior da nação do Níger, na África Ocidental. Caturegli disse que precisou de 300 dólares e quase três meses de espera para garantir o domínio com o registro no Níger. Após configurar um servidor DNS em “akam.ne”, ele notou centenas de milhares de solicitações de DNS atingindo seu servidor diariamente de locais ao redor do mundo.
Aparentemente, a Mastercard não foi a única organização que cometeu um erro de entrada DNS envolvendo “akam.ne”, mas foi a maior afetada.
Se o pesquisador tivesse configurado um servidor de e-mail em seu novo domínio “akam.ne”, ele provavelmente teria recebido e-mails erroneamente direcionados para mastercard.com ou outros domínios afetados. Caso tivesse abusado de seu acesso, ele poderia ter obtido certificados de criptografia de site (SSL/TLS) autorizados a aceitar e retransmitir tráfego da web para sites afetados. Ele poderia até ter recebido passivamente credenciais de autenticação do Microsoft Windows de computadores de funcionários em empresas afetadas.
No entanto, o pesquisador não tentou fazer nada disso. Em vez disso, alertou a Mastercard de que o domínio estava disponível se quisessem. Poucas horas depois, a Mastercard reconheceu o erro, mas afirmou que nunca houve uma ameaça real à segurança de suas operações.