Uma falha de segurança crítica em sistemas de gerenciamento de jurados expôs informações pessoais sensíveis de cidadãos em tribunais dos Estados Unidos e Canadá, conforme revelado em investigação exclusiva do TechCrunch. A vulnerabilidade, descoberta por um pesquisador de segurança que preferiu manter o anonimato, afetava pelo menos uma dúzia de portais de júri desenvolvidos pela Tyler Technologies, empresa fornecedora de software governamental. Os sistemas comprometidos estavam distribuídos por diversos estados, incluindo Califórnia, Illinois, Michigan, Nevada, Ohio, Pensilvânia, Texas e Virgínia.
O problema central residia na ausência de mecanismos de proteção básicos contra ataques de força bruta. Para acessar as plataformas, cada jurado recebia um identificador numérico sequencial que podia ser facilmente adivinhado através de tentativas repetidas. A falta de limitação de taxa (rate-limiting) permitia que qualquer pessoa tentasse milhares de combinações sem restrições, obtendo acesso completo aos perfis dos cidadãos selecionados para serviço jurídico.
Dentro dos portais vulneráveis, os pesquisadores encontraram um tesouro de dados pessoais: nomes completos, datas de nascimento, ocupações, endereços de email, números de telefone celular e endereços residenciais. Além dessas informações básicas, também estavam expostos questionários detalhados que os potenciais jurados precisam preencher para avaliar sua qualificação, incluindo dados sobre gênero, etnia, nível educacional, situação conjugal, filhos, cidadania, histórico criminal e até mesmo informações de saúde quando havia solicitações de isenção por motivos médicos.
A Tyler Technologies reconheceu a vulnerabilidade em 25 de novembro, após ser alertada pelo TechCrunch no dia 5 do mesmo mês. Karen Shields, porta-voz da empresa, confirmou que a equipe de segurança identificou "uma vulnerabilidade onde algumas informações de jurados podem ter sido acessíveis via ataque de força bruta" e afirmou que a empresa desenvolveu uma correção e está comunicando os próximos passos com seus clientes. No entanto, a empresa não respondeu a perguntas sobre sua capacidade de detectar acessos maliciosos ou planos para notificar os afetados.
Este não é um incidente isolado para a Tyler Technologies. Em 2023, a mesma empresa já havia enfrentado problemas semelhantes quando pesquisadores descobriram que seus sistemas de gestão de casos expunham dados sigilosos, incluindo listas de testemunhas, avaliações de saúde mental, alegações detalhadas de abuso e segredos comerciais corporativos. Naquela ocasião, outras provedoras de tecnologia governamental - Catalis e Henschen & Associates - também estavam envolvidas em exposições de dados semelhantes.
A repetição desses incidentes levanta questões profundas sobre a segurança de sistemas governamentais que lidam com informações sensíveis da população. A exposição de dados de jurados não apenas viola a privacidade individual, mas também pode comprometer a integridade do processo judicial e colocar cidadãos em risco. Este caso serve como alerta urgente para a necessidade de auditorias rigorosas e padrões mais elevados de segurança cibernética em tecnologias utilizadas pelo setor público, especialmente quando envolvem dados que deveriam permanecer protegidos por lei.
