O rápido crescimento da Careem deixou os dados de 14 milhões de usuários expostos a hackers

A Careem era a resposta do Oriente Médio à Uber — um aplicativo de transporte por aplicativo sediado em Dubai que cresceu rapidamente em mais de uma dúzia de países, do Golfo ao Norte da África, Paquistão e Turquia. Como outras plataformas, ela guardava os dados pessoais de milhões de clientes e dos motoristas que os atendiam.

Em 14 de janeiro de 2018, a Careem detectou que seus sistemas haviam sido violados. Hackers acessaram os dados de conta de cerca de 14 milhões de pessoas — passageiros e motoristas —, levando nomes, endereços de e-mail, números de telefone e registros de viagens. Foi uma das maiores violações de dados relatadas na região.

A Careem não anunciou a violação imediatamente. Divulgou-a publicamente em 23 de abril de 2018, cerca de três meses após a detecção, dizendo que precisou de tempo para investigar e que havia trabalhado com autoridades policiais e especialistas em segurança. A lacuna levantou a questão habitual sobre com que rapidez uma empresa deve informar seus usuários.

O caso é um lembrete de que plataformas em rápido crescimento são alvos de dados antes de qualquer outra coisa. A Careem correu para adicionar cidades e usuários, e as informações pessoais que vieram com esse crescimento tornaram-se um ativo para os atacantes. A lição é que a segurança precisa escalar na mesma velocidade que a base de usuários, e que o momento da divulgação é, em si, parte da resposta.

A Careem correu para adicionar cidades e usuários, acumulando dados pessoais mais rápido do que reforçava suas defesas, e adiou a divulgação por três meses após detectar a violação.

A rápida expansão da Careem por muitos países acumulou os dados pessoais de milhões de passageiros e motoristas mais rápido do que suas defesas foram reforçadas contra atacantes.

Uma plataforma de transporte por aplicativo é um alvo valioso: ela guarda nomes, dados de contato e dados de deslocamento de uma base de usuários grande e geograficamente dispersa em um só lugar.

A violação foi detectada em janeiro, mas divulgada apenas em abril, deixando uma janela de três meses em que os usuários afetados não sabiam que seus dados haviam sido levados.

Guardar dados tanto de passageiros quanto de motoristas dobrou a exposição e fez com que a violação atingisse as pessoas que ganham a vida por meio da plataforma, não apenas seus clientes.

Uma plataforma que corre para adicionar usuários está construindo um alvo na mesma velocidade que um negócio. Os dados pessoais precisam ser protegidos no ritmo do crescimento e, quando há uma violação, informar os usuários prontamente faz parte da solução.

A Careem continuou a operar e mais tarde foi adquirida pela Uber, tornando-se o núcleo dos negócios da Uber na região. A violação é citada em discussões sobre segurança de dados em empresas de tecnologia de alto crescimento em mercados emergentes, onde o número de usuários pode superar as práticas de segurança e de divulgação que deveriam acompanhá-los.