Vibetech expõe banco de credenciais alheias sem senha
Vibetech
claimed on · assessed on
A Vibetech, empresa indiana de desenvolvimento de software e IA, operava uma plataforma de inteligência de dados que agregou 13,7 milhões de registros oriundos de vazamentos anteriores de terceiros — e deixou esse repositório aberto na internet sem autenticação. Não se trata de um vazamento novo: são dados reciclados de incidentes já conhecidos (AT&T, Amazon, Casio, FBI, entre outros), re-expostos por falha de configuração. A Vibetech não se manifestou publicamente e nenhum regulador confirmou notificação até o momento.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O banco de dados continha exclusivamente dados de incidentes anteriores de terceiros, rotulados pela própria plataforma com o nome das fontes originais. Não há evidência de que a Vibetech coletou esses dados por intrusão própria; o vetor mais provável é aquisição de dumps de dark web ou feeds de threat intelligence de origem duvidosa.
A vinculação entre o banco de dados e a Vibetech baseia-se exclusivamente no endereço IP associado ao domínio .in da empresa — metodologia padrão de Fowler, porém sem corroboração independente de logs, registros de domínio publicados ou admissão da empresa. O link é plausível, mas não é prova cabal de propriedade.
O dashboard da mesma infraestrutura afirmava deter 4,14 bilhões de registros totais — cifra que nenhuma fonte verificou de forma independente e que deve ser tratada como dado não confirmado da própria plataforma, não como fato.
A presença de dados do FBI (4.084 registros) e da Interpol (929 registros) nesta coleção indica que a plataforma não se limitava a dados comerciais; credenciais de agências de segurança pública aumentam materialmente o risco de uso por agentes de ameaça avançados.
A substituição do dashboard exposto por uma página de conformidade ISMS no dia seguinte à notificação sugere que a Vibetech tinha consciência de que operava infraestrutura sensível e tinha capacidade de agir rapidamente — o que torna a ausência de proteção de acesso ainda menos explicável por acidente técnico ingênuo.
A Vibetech está sujeita às obrigações de notificação do CERT-In (prazo de 6 horas após ciência do incidente) e potencialmente da Lei DPDP. Não há registro público de que qualquer notificação foi feita, o que pode configurar infração regulatória independente da origem dos dados.
Analysis
Este caso não é um vazamento convencional. A Vibetech não foi invadida por um ator externo: o que aconteceu foi a exposição acidental — ou ao menos não intencional — de um repositório que a própria empresa (ou uma plataforma vinculada ao seu IP) mantinha com dados de incidentes de segurança de terceiros. O pesquisador Jeremiah Fowler, publicando pela ExpressVPN, foi a única fonte primária de descoberta técnica. Toda a cobertura subsequente deriva desse relatório único — o que reduz a diversidade de fontes independentes e exige cautela na confirmação de detalhes.
A natureza dos dados reforça a classificação como 'recycled': os datasets estavam rotulados com os nomes das fontes originais (AT&T, Amazon, Casio, FBI, Interpol, PayPal, Walmart), o que indica uma plataforma de agregação deliberada, não um dump aleatório. O maior bloco — 7,9 milhões de registros marcados como 'AT&T Data Leak' — corresponde a vazamentos já conhecidos e amplamente divulgados daquela operadora. Contudo, Fowler nota que alguns datasets não coincidem com os volumes registrados em divulgações públicas conhecidas, o que abre a possibilidade de inclusão de material de origem desconhecida ou de vazamentos nunca reportados — hipótese de baixa confirmação, mas não descartável.
O dashboard da plataforma exposta afirmava conter 4,14 bilhões de registros no total, com 99,2 milhões adicionados no mês. Esses números pertencem à plataforma da Vibetech e não foram verificados por nenhuma fonte independente. A imprensa que os cita deve fazê-lo com essa ressalva explícita — o que nem todos os veículos fizeram. O painel também identificava RedLine como principal fonte de credenciais, o que, se verdadeiro, indicaria acesso a dados de infostealer — uma categoria que vai além de simples dumps de email/senha e inclui cookies de sessão e tokens.
A vinculação do banco de dados à Vibetech é metodologicamente sólida (IP → domínio .in → plataforma pública da empresa), mas não conta com corroboração independente: a empresa não confirmou, não negou e não emitiu nenhum comunicado público até o fechamento deste relatório. Isso é, em si, informação relevante: a ausência de resposta, combinada com a velocidade de remediação técnica (menos de 24 horas), sugere que a empresa tinha consciência da infraestrutura e capacidade de agir — o que torna difícil sustentar a narrativa de um erro puramente acidental e operado por terceiros sem conhecimento da Vibetech.
A questão regulatória é a mais subapurada. A Índia impõe ao CERT-In notificação de incidentes cibernéticos dentro de 6 horas da ciência do evento. A Lei DPDP, ainda em fase de implementação completa (DPDP Rules previstas para 2027), pode também ser acionada. Não há registro público de qualquer notificação feita pela Vibetech a autoridades indianas, o que pode configurar infração autônoma — independente de se os dados eram 'originalmente de terceiros'. A legalidade de agregar dados de vazamentos alheios em uma plataforma de inteligência sem base jurídica clara é questão aberta sob a legislação indiana.
Timeline
- 12 Oct 2026Pesquisador Jeremiah Fowler publica relatório pela ExpressVPN descrevendo o banco de dados aberto vinculado à Vibetech, com 13,7 milhões de registros sem autenticação. Notificação de responsible disclosure enviada à Vibetech e ao provedor de hospedagem no mesmo momento.
- 13 Oct 2026Banco de dados é restrito e se torna inacessível publicamente após notificação. O mesmo endereço IP passa a exibir um dashboard de conformidade ISMS no lugar das credenciais expostas. Cyberkendra e Security Magazine publicam cobertura inicial.
- 14 Oct 2026TechRadar publica análise do caso, identificando os datasets expostos e especulando sobre a finalidade da plataforma da Vibetech.
- 15 Oct 2026DataBreaches.net, Hackread e eSecurity Planet ampliam a cobertura. O caso passa a circular em agregadores de inteligência. Nenhum comunicado oficial da Vibetech é registrado.
- 16 Oct 2026Digital Reviews Network publica síntese adicional. Ainda sem manifestação de reguladores (CERT-In, Data Protection Board da Índia) ou da própria empresa.
Data involved
Impact
Os 13,7 milhões de registros expostos são, em sua maioria, dados já comprometidos em incidentes anteriores. Contudo, a re-exposição centralizada e sem autenticação amplia materialmente o risco residual: dados que exigiriam esforço para obter em dark web tornaram-se temporariamente acessíveis via navegador comum, sem credencial. Indivíduos cujos dados constavam nos datasets AT&T, Amazon, Casio, Walmart e PayPal — se ainda usam as mesmas senhas em outros serviços — estão expostos a ataques de credential stuffing. A presença de dados do FBI e da Interpol, mesmo em volume menor (4.084 e 929 registros respectivamente), representa risco institucional específico: essas credenciais podem ser usadas para spear phishing contra funcionários dessas agências ou para se passar por eles. Nenhuma empresa citada como fonte dos dados foi identificada como nova vítima neste incidente — os rótulos dos datasets são da plataforma da Vibetech, não notificações dessas empresas.
Technical links
Recommendations
- Organizações com dados nos datasets AT&T, Amazon, Casio, Walmart, PayPal, FBI ou Interpol devem verificar se credenciais expostas nesses vazamentos originais ainda estão ativas em sistemas internos e forçar rotação imediata onde aplicável.
- Empresas que mantêm repositórios de dados de threat intelligence ou de breach data para fins defensivos devem garantir que esses bancos de dados nunca estejam acessíveis via internet pública sem autenticação multifator — o caso Vibetech é um exemplo direto do risco de má configuração de acesso nesse tipo de infraestrutura.
- Implemente controle de inventário de ativos de dados que inclua repositórios de threat intelligence internos: muitas organizações protegem os sistemas de produção, mas deixam plataformas analíticas e de pesquisa expostas sem os mesmos controles.
- Qualquer organização indiana que mantenha dados pessoais de terceiros deve revisar suas obrigações sob as Diretrizes do CERT-In (notificação em 6 horas) e, antecipadamente, sob a Lei DPDP, incluindo o escopo de dados agregados de fontes externas — a incerteza jurídica atual não elimina o risco regulatório.
- Monitore credenciais corporativas em ferramentas de detecção de credential exposure (ex: Have I Been Pwned, serviços equivalentes) com foco nos domínios identificados no dashboard da Vibetech: Gmail, Yahoo, Hotmail e Outlook foram listados como os mais comuns na coleção.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Nenhum comunicado oficial da Vibetech foi localizado — uma declaração da empresa esclareceria a finalidade da plataforma, se os dados foram adquiridos legalmente e o prazo de exposição.
O período exato em que o banco de dados ficou aberto é desconhecido — logs de acesso ou registros do provedor de hospedagem resolveriam essa lacuna, mas não foram divulgados.
Não há confirmação de que atores mal-intencionados acessaram os dados antes da remediação — análise forense dos logs de acesso do servidor seria necessária.
Nenhum regulador indiano (CERT-In ou Data Protection Board) confirmou ter recebido notificação — uma consulta direta ao CERT-In ou uma solicitação via RTI (Right to Information Act) poderia esclarecer.
Os datasets que não correspondem a vazamentos públicos conhecidos não foram identificados — análise forense detalhada dos hashes e metadados dos arquivos poderia determinar se há material inédito.
O modelo de negócio da plataforma de inteligência da Vibetech não foi explicado — não se sabe se ela vendia acesso, operava como ferramenta interna ou servia clientes externos, o que é central para avaliar o grau de responsabilidade legal.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.