Desenvolvedor alemão considerado culpado de ‘hacking’ por expor credenciais hardcoded em app
Um tribunal alemão multou um desenvolvedor por “hacking” depois que ele usou credenciais de banco de dados hardcoded embutidas em um app comercial para diagnosticar um problema de logging e depois relatou que as mesmas credenciais expunham dados de muitos outros clientes. Os comentaristas discutem se isso constitui violação digital ilícita ou uso razoável de credenciais efetivamente entregues ao cliente, ao mesmo tempo em que criticam fortemente as práticas de segurança do fornecedor e a decisão de processar. Muitos temem que leis amplas sobre crimes de computador, como o §202a/§202c StGB da Alemanha, criem um efeito inibidor sobre a divulgação de vulnerabilidades de boa-fé, deixando os sistemas menos seguros no fim.
O que o desenvolvedor fez (segundo a discussão)
- Encarregado por um cliente de depurar um excesso de logs em software de um fornecedor.
- Abriu o binário do cliente (relatadamente apenas em um editor de texto) e encontrou credenciais MySQL hardcoded.
- Assumiu que o banco de dados remoto era de uso exclusivo desse cliente; usou essas credenciais para se conectar.
- Ao ver dados de vários clientes, teria se desconectado rapidamente e relatado o problema.
- Alguns comentários acrescentam que ele também derivou hashes de dados de usuários (possivelmente por meio de funções do banco de dados) para notificação posterior e usou ferramentas como phpMyAdmin; outros dizem que os detalhes não estão claros.
Contexto jurídico alemão (§202a / §202c StGB)
- O §202a criminaliza obter acesso a dados que estejam “especialmente protegidos” contra acesso não autorizado, independentemente da finalidade.
- O §202c criminaliza obter ou fornecer senhas/ferramentas destinadas à prática de tais crimes.
- Antes, o mesmo tribunal inferior havia arquivado o caso, argumentando que uma senha padrão em um cliente livremente baixável não era “proteção efetiva”; um tribunal superior forçou um novo julgamento com outro juiz.
- A condenação atualmente prevê uma multa de cerca de €3000 mais custos legais; ainda não é definitiva e pode ser recorrida.
Debate moral vs. legal
- Muitos veem isso como punição por uma divulgação de boa-fé e culpam a negligência do fornecedor (senha única compartilhada, armazenada em texto claro).
- Outros enfatizam que, uma vez que ele extraiu credenciais e consultou manualmente um servidor de terceiros, isso virou “violação digital de domicílio”, independentemente da intenção ou da negligência do fornecedor.
- Há discordância sobre se o direito do cliente aos próprios dados implica um direito de se conectar por ferramentas arbitrárias, e não apenas pelo aplicativo do fornecedor.
Efeito inibidor e conselho prático
- Há preocupação generalizada de que tais decisões desestimulem a divulgação responsável; seria mais seguro ficar em silêncio ou relatar apenas anonimamente.
- Vários dizem que já evitam relatar bugs por medo de processo, em analogias com Alemanha, Reino Unido, EUA e Holanda.
- Alguns argumentam que isso incentiva vender vulnerabilidades ou dados em vez de ajudar os fornecedores.
Analogias e o significado de “hacking”
- Longo debate usando chaves, portas, depósitos, quartos de hotel e APIs para raciocinar sobre autorização.
- Muitos criticam chamar isso de “hacking” de todo; outros observam que a lei se importa com acesso não autorizado, não com sofisticação técnica.
- Discussão sobre como “hacking” mudou de uma curiosidade lúdica para uma moldura midiática/criminal.
Contexto mais amplo: Alemanha, políticas e pesquisa de segurança
- Comentários relacionam isso às leis alemãs restritivas sobre crimes de computador, à fraca cultura de segurança digital e à fuga de talentos de infosec.
- Alguns defendem proteções no estilo Good Samaritan e um lobby mais eficaz (EFF mencionada) para reformar tais leis.