CURTA NOSSA FANPAGE: https://www.facebook.com/paddockbrasiloficial
Três pesquisadores de segurança — Ian Carroll, Gal Nagli e Sam Curry — demonstraram uma vulnerabilidade grave no portal de categorização de pilotos da FIA. Em dez minutos, a partir de um cadastro comum, foi possível elevar privilégios e acessar dados sensíveis, inclusive o passaporte de Max Verstappen. Não é boato: os detalhes técnicos foram publicados pelos próprios pesquisadores e a FIA confirmou o incidente.
A combinação de um erro elementar de autorização com um alvo de alto valor transformou um formulário online em porta de entrada para informações pessoais e internas. O timing torna o caso ainda mais relevante: às vésperas do GP em Interlagos, vale perguntar — como a legislação brasileira reagiria a uma falha desse calibre?
Tecnicamente, tratou-se de mass assignment: a API devolvia e aceitava campos de função (roles) que, ao serem reenviados pelo cliente, promoviam a conta a administradora. Com o perfil elevado, tornou-se viável consultar documentos de identidade, licenças e contatos, além de visualizar comunicações internas de avaliação de pilotos. É a anatomia de um clássico: controle de acesso implantado do lado errado, testes negativos insuficientes e ausência de validações robustas no servidor. Quando o esqueleto da autorização cede, todo o edifício da privacidade desaba junto.
A linha do tempo também importa. Segundo os relatos, a falha foi reportada à FIA em 3 de junho; o portal saiu do ar rapidamente e a correção veio na sequência. Ao tornar o caso público agora, a entidade reconheceu o incidente, afirmou não haver evidência de uso malicioso além do teste e declarou ter notificado autoridades de proteção de dados e pilotos possivelmente afetados. O contraste entre “escopo potencial” e “escopo efetivo” é comum na forense digital, mas não diminui a gravidade do vetor.
