Um jovem de 15 anos, conhecido como Daniel, compartilhou sua experiência impressionante ao descobrir uma vulnerabilidade na Zendesk, uma ferramenta de atendimento ao cliente amplamente utilizada por diversas empresas, incluindo várias das Fortune 500. Segundo Daniel, a Zendesk se conecta ao e-mail de suporte das empresas, gerenciando automaticamente os tickets de atendimento. No entanto, essa integração pode criar sérias brechas de segurança, especialmente quando o mesmo domínio é usado para sistemas de login único (SSO).

Daniel notou que, ao conectar a Zendesk ao e-mail de suporte, as empresas estavam potencialmente vulneráveis a ataques, pois a Zendesk gerencia todos os e-mails de um domínio específico. Isso significa que se o sistema SSO não validar corretamente os endereços de e-mail, um invasor que obtivesse acesso à Zendesk poderia explorar essa falha e invadir os sistemas internos da empresa.

No início deste ano, o jovem encontrou uma vulnerabilidade grave que permitia a leitura de tickets de suporte de qualquer empresa que utilizasse a Zendesk. O problema estava na falta de proteção contra spoofing de e-mail. A Zendesk não parecia se preocupar com o problema, mesmo sendo capaz de afetar mais da metade das empresas da Fortune 500. "A falha em reconhecer a gravidade do problema foi surpreendente", comentou Daniel.

Apesar de relatar a vulnerabilidade através do programa de recompensas da Zendesk, a resposta que recebeu foi decepcionante. A empresa alegou que a questão estava "fora do escopo" de sua política de segurança, pois dependia do spoofing de e-mail. Após insistir, Daniel conseguiu que sua reclamação fosse revisada por um membro da equipe da Zendesk, mas novamente não obteve sucesso.

Com a frustração acumulada, Daniel decidiu escalar a situação. Ele se lembrou de um artigo anterior que detalhava como um pesquisador de segurança havia explorado a Zendesk para invadir espaços de trabalho do Slack de várias empresas. Assim, ele percebeu que poderia replicar o ataque, especialmente porque a Zendesk tinha mudado seu sistema de verificação de e-mail, mas outras plataformas, como Apple e Google, ainda permitiam brechas.

O plano de Daniel era simples: criar uma conta Apple com o e-mail de suporte da empresa, solicitar um código de verificação e usar a falha na Zendesk para acessar os tickets criados automaticamente. Ele executou esse plano em várias instâncias da Zendesk, reportando a vulnerabilidade a diferentes empresas.

A repercussão foi notável, com várias empresas desativando rapidamente a colaboração de e-mail da Zendesk em suas instâncias. Durante esse processo, Daniel conseguiu arrecadar mais de 50 mil dólares em recompensas por suas descobertas. No entanto, a Zendesk, após finalmente corrigir a falha, optou por não recompensá-lo, alegando que ele havia violado as diretrizes de divulgação ao compartilhar a vulnerabilidade com as empresas afetadas.

"O que começou como um pequeno bug de e-mail se transformou em uma exploração que me permitiu penetrar em sistemas internos de algumas das maiores empresas do mundo", refletiu Daniel. Apesar das dificuldades enfrentadas, ele continua a compartilhar suas experiências no mundo da caça a bugs e espera que sua história inspire outros a se envolverem nessa área.