Um grupo de piratas informáticos conseguiu obter a chave privada de encriptação usada pelo sistema europeu do passaporte contra a Covid-19 e está a vender certificados falsos para qualquer pessoa, incluindo já falecidos.
A chave privada de encriptação usada pelas autoridades europeias para autenticar os certificados digitais de vacinação contra a covid-19 na União Europeia está a ser usada por hackers para vender certificados a qualquer pessoa.
Para provar que tinham mesmo esta capacidade, os piratas geraram certificados para Adolf Hitler, para o rato Mickey e para o SpongeBob.
De acordo com a Bleeping Computer, estes certificados falsos apareciam como validados e os hackers pedem cerca de 300 dólares para cada certificado falsificado.
Esta encriptação é aplicada nos certificados digitais verificados nos países da União Europeia para atestar que os viajantes estão vacinados. A emissão do certificado está a cargo de agências de saúde, centros de testagem e muitas outras entidades, pelo que ainda não é claro onde está a fuga que fez chegar a chave aos hackers.
A Comissão Europeia indica que o passe digital tem um código QR com uma assinatura digital que pretende evitar falsificações. Confrontada com esta situação, fonte da Comissão reforça que os certificados foram criados por “pessoas com credenciais válidas para acesso aos sistemas de TI nacionais ou por pessoas a fazer mau uso destas credenciais”, sublinhando que o episódio é causado por “atividades ilegais” e não por falha técnica.
Segundo os dados do código QR analisados pelo Bleeping Computer, os certificados falsos que circulam online foram emitidos em diferentes países, como é o caso de França, Alemanha, Itália, Holanda, Macedónia do Norte, ou Polónia, o que indica um problema que pode afetar toda a comunidade europeia.
O impacto desta situação pode ser expressivo, permitindo que pessoas não vacinadas circulem livremente e colocando em risco a saúde nas comunidades locais. Em situações limite, a fuga pode mesmo levar os governos a perder a confiança na legitimidade de todo o mecanismo.
“Em vários grupos (principalmente no Telegram) estão a circular vários certificados falsos com assinatura válida. Existe a possibilidade de que o banco de dados de chaves privadas esteja comprometido e isso pode gerar uma quebra da cadeia de confiança”, referiu o utilizador do GitHub, Emanuele Laface, citado pela Bleeping Computer.
