O que fez, afinal, o investigador?
Ian Carroll foi à caça de falhas na Front Gate Tickets, o braço de bilheteira que a Live Nation e a sua divisão Ticketmaster usam para uma longa lista de festivais americanos. Encontrou um endpoint da API destinado a dispositivos, aquele com que falam os scanners às portas, e um parâmetro chamado deviceUID que não limpava as suas entradas. A plataforma estava atrás de uma firewall, um AWS WAF, que só lia a camada externa de um pedido. Carroll usou o Claude da Anthropic para meter o código malicioso dentro de uma subconsulta aninhada, e a carga passou sem problemas. A partir daí foi um oráculo booleano, uma pergunta de verdadeiro ou falso de cada vez, até a base revelar a sua estrutura.
Quão grave era o acesso?
Grave. A base interna tinha mais de 500 tabelas: credenciais do pessoal, encomendas de clientes e uma tabela de tokens de reposição ativos, resgatáveis para sequestrar contas. Com isso, Carroll diz que podia emitir para si próprio bilhetes para qualquer evento, de qualquer valor, e vasculhar as fichas de clientes à vontade. Uma simples pesquisa por "chris" devolvia milhares de pessoas. É a espinha dorsal das entradas de EDC, Bonnaroo e Outside Lands, a um único pedido não autenticado de uma tomada de controlo total.
A firewall só lia o exterior do pedido. O verdadeiro estrago estava um nível abaixo.
Porque é a Ticketmaster que responde?
Porque a Front Gate Tickets é delas. A Live Nation e a Ticketmaster defendem há anos o seu domínio do ao vivo em nome da escala e da segurança, e é a mesma casa cuja fuga de dados expôs milhões de pessoas em 2024. A concentração foi vendida como garantia. Eis uma plataforma da Live Nation que fazia funcionar o sistema de entrada de quase todos os grandes festivais dos EUA com código que trazia uma injeção de SQL não autenticada. Carroll avisou a 25 de abril, a Front Gate corrigiu em cerca de um dia e afirma que nada indica que alguém hostil a tenha encontrado antes. O relato público saiu a 1 de julho.
O que significa para a pista
Duas coisas. Primeiro, a IA não entrou sozinha. Era Carroll a conduzi-la; o Claude encurtou a tarde ao encontrar o contorno da firewall que um humano levaria mais tempo a ver. Ele trabalha dentro do programa de investigadores verificados da Anthropic, que, segundo a empresa, teria bloqueado esta atividade para quem estivesse de fora. Segundo, quando uma só firma é dona dos canos de quase todo o mercado, um bug é o bug de todos. A pulseira no teu pulso só vale o que valer o ponto de acesso menos auditado que está por trás.
