Um laboratório independente de segurança digital que reúne pesquisadores de diferentes partes do mundo identificou que a plataforma de vendas on-line Hariexpress expôs mais de 1,75 bilhão de dados confidenciais de clientes. A plataforma tem, entre seus parceiros, empresas do porte da Amazon, Mercado Livre, Magalu, Americanas e Shopee. Os Correios também utilizam o serviço.

O relatório foi divulgado pelo grupo Safety Detectives e, conforme reportagem publicada no UOL, os dados equivalem a 610 gigabytes de informações. 

O vazamento, segundo os pesquisadores,  decorre da má configuração em um servidor da Hariexpress, chamado de ElasticSearch, uma espécie de mecanismo de buscas nos sites. Ele estava sem criptografia (camada extra de segurança) e sem qualquer proteção por senha. O relatório aponta que essa falha "expôs uma grande quantidade de PII (Informação Pessoal Identificável) de clientes de comércio eletrônico e usuários da plataforma."

O documento indica que estiveram vulneráveis os seguintes dados dos consumidores:

• Nomes completos e "apelidos" da conta (nomes de usuário);
• Endereço de e-mail;
• Números de telefone; 
• Endereços de entrega completos;
• Detalhes de faturamento, incluindo endereços de cobrança e o valor pago pelas mercadorias; 
• Imagens das mercadorias entregues.
  

Também foram vazadas informações dos vendedores, tais como dados pessoais - nome, e-mail, telefone, CPF e CNPJ - e também detalhes de faturamento, incluindo preço unitário e tempo de venda.

Para os pesquisadores, essa exposição pode fazer os clientes e vendedores serem alvos de golpes. O relatório não consegue apontar quanto dos dados refere-se a pessoas físicas ou jurídicas. "Os usuários do Hariexpress podem ser alvos de tentativas de phishing e golpes usando essas informações. Por exemplo, um hacker pode se passar por um cliente insatisfeito ao solicitar um reembolso ou um novo pedido, citando a extensa lista de registros de pedidos e informações de fatura", descreveu o grupo.

O Safety Detectives informou que os seus sistemas identificaram a exposição das informações em maio de 2021, mas o relatório foi divulgado em outubro em razão de os dados estarem em português.  As empresas que têm a plataforma Hariexpress como parceria na venda on-line informaram, à reportagem do UOL, que os dados de seus clientes não foram vazados. Mercado Livre optou por suspender a parceria.