A companhia de segurança WhiteHat Security divulgou hoje que 80% dos sites contém falhas que poderiam levar ao roubo de informações confidenciais de clientes, criar fraudes ou ainda atacar de diversas maneiras o servidor.

A WhiteHat Security costuma avaliar centenas de sites "muito populares" para seus clientes empresariais. "Muito provavelmente você já comprou lá, ou pagou suas contas lá", explicou Jeremiah Grossman, fundador da companhia, se referindo ao público americano.

Dos sites pesquisados 30% possuem falhas urgentes de vulnerabilidade, que poderiam levar ao acesso do banco de dados da companhia, onde informações confidenciais de seus clientes estão guardadas. Dois em cada três sites também possuem problemas que facilitariam a exploração XSS, usada comumente entre os phishers (fraudadores).

A pesquisa também chegou à conclusão de que um terço dos sites verificados corre risco de vazamento de informações, ou seja, pode revelar dados vitais que facilitariam um ataque. Um em cada quatro sites permite o chamado "spoofing de conteúdo", outro método de ataque dos fraudadores virtuais.

Mesmo com os dados alarmantes, Grossman diz que uma das vulnerabilidades populares existentes em bancos de dados, que permitem a inclusão de código arbitrário em bancos SQL, está se tornando menos comum: menos de 25% dos sites verificados continham este tipo de vulnerabilidade que, se bem explorada, poderia oferecer acesso total aos dados da companhia.

Para Ken Dunham, diretor da iDefense, equipe da companhia de segurança VeriSign, o relatório da WhiteHat mostra que os ataques web são os tipos mais comuns de ataque nos últimos dois anos.

Dunham explica que a programação de serviços interativos, da chamada Web 2.0, em linguagens como Ajax, permite que os ataques ocorram de maneira praticamente invisível. Por outro lado, estas vulnerabilidades podem ser resolvidas em um ponto central, ao contrário de vulnerabilidades de software, que precisam ser resolvidas pela desenvolvedora e passada aos clientes.

O relatório pode ser baixado mediante registro, do site da WhiteHat, e contém a pesquisa realizada entre os dias 1º de janeiro de 2006 e 31 de março de 2007, em sites que exigem autenticação de usuário.