Plataforma de gestão de pedidos joga culpa no restaurante por vazamento de dados via link
Fala, galera. Queria compartilhar uma situação que passei hoje como usuário e ouvir a opinião de vocês sobre a desculpa que a empresa deu.
Fui pedir comida e o restaurante me mandou o link do cardápio de uma plataforma bem conhecida (Anota Aí). Quando cliquei, simplesmente caí na conta logada de um cliente completamente desconhecido. Tive acesso a tudo: histórico de pedidos, nome completo, telefone e todos os endereços residenciais salvos e inclusive formas de pagamento. Alguém mal intencionado com acesso a conta de alguém que cadastrou cartão poderia facilmente pedir o delivery pelo cartão do outro usuário e adicionar um novo endereço, afinal, essa falha dá acesso a todos os dados da conta.
Pelo que percebi, eles estão passando o token de sessão ou o ID do usuário direto na URL, sem nenhuma validação se quem tá fazendo a requisição é o dono daquela conta.
Fui abrir uma reclamação no Reclame Aqui, alertando sobre o vazamento de dados sensíveis e a violação da LGPD e olha a resposta que recebi do suporte:
"Foi um erro do estabelecimento e precisamos que nos envie o link (...) existe o link correto do cardápio para ser enviado, o estabelecimento não pode sair escolhendo o link que achar por aí e enviar para outros clientes.
Compreendo sua insatisfação com o ocorrido e agradeço por nos procurar para que possamos esclarecer a situação. Esse problema ocorre quando o estabelecimento compartilha o link pessoal de outra pessoa com outros consumidores, seja por mensagem ou por meio de suas redes sociais. No entanto, fique tranquilo, pois já invalidamos ambos os links enviados e entraremos em contato com os estabelecimentos envolvidos para reforçar que esses links pessoais não devem ser compartilhados com terceiros."
Ou seja, eles admitiram que a segurança do sistema deles depende exclusivamente de um atendente de restaurante não errar o envio do link.
Queria saber a opinião de vocês sobre isso