Estão invadindo meu emissor

[Marcelo Degaspari]

Olá, acabei de receber uma ligação de um comprador de um cliente. Esse sujeito já foi programador. O cara teve a coragem de me falar a última nota fiscal emitida pela minha empresa hoje, EM PDF!!! Até me encaminhou por email.
Aliás, está tentando me vender o serviço de "bloqueio" dessas informações, já que meus concorrentes podem também ter essas notas fiscais. Meu sistema na empresa é bastante protegido, com CISCO, Firewalls, antivírus originais, etc. Ou seja, ele não está invadindo meu servidor em si, mas alguma comunicação minha do meu emissor com a SEFAZ/SP. Estou quebrando a cabeça com isso. Vi que existe a possibilidade da própria SEFAZ bloquear o meu acesso ao emissor caso o download ultrapasse um limite X de acessos. Alguém pode me dar um caminho sem eu ter que colocá-lo na cadeia imediatamente? Honestamente, só queria que minhas comunicações ficassem realmente protegidas.

[Sérgio Assunção]

Movido para o local mais adequado.

[EMBarbosa]

Olá Marcelo,

13 minutos atrás, Marcelo Degaspari disse:

acabei de receber uma ligação de um comprador de um cliente

você poderia explicar melhor seu problema? Acho que não entendi.

13 minutos atrás, Marcelo Degaspari disse:

seja, ele não está invadindo meu servidor em si, mas alguma comunicação minha do meu emissor com a SEFAZ/SP

Pergunta importante: Como seu sistema emite NFe? É um sistema Web?

[Daniel Simoes]

Como ele e emitiria uma NFe, com seus dados, sem o seu certificado Digital ??

Se ele copiou o certificado digital... você pode/deve revogá-lo...

[Edson.pol]

Como você está tratando o campo Ide.cNF ?

Está usando um número randômico (o que é indicado) ou algum valor fixo?

Se for fixo, fica fácil descobrir a chave da NFe.

 

[RicardoVoigt]

59 minutos atrás, Marcelo Degaspari disse:

Olá, acabei de receber uma ligação de um comprador de um cliente. Esse sujeito já foi programador. O cara teve a coragem de me falar a última nota fiscal emitida pela minha empresa hoje, EM PDF!!! Até me encaminhou por email.
Aliás, está tentando me vender o serviço de "bloqueio" dessas informações, já que meus concorrentes podem também ter essas notas fiscais. Meu sistema na empresa é bastante protegido, com CISCO, Firewalls, antivírus originais, etc. Ou seja, ele não está invadindo meu servidor em si, mas alguma comunicação minha do meu emissor com a SEFAZ/SP. Estou quebrando a cabeça com isso. Vi que existe a possibilidade da própria SEFAZ bloquear o meu acesso ao emissor caso o download ultrapasse um limite X de acessos. Alguém pode me dar um caminho sem eu ter que colocá-lo na cadeia imediatamente? Honestamente, só queria que minhas comunicações ficassem realmente protegidas.

Boa tarde,

sugiro a leitura deste tópico abaixo

Bem provável, que ele tenha detectado q seu sistema emite notas onde o cNF é igual ao nNF, facilitando assim a descoberta da chave de acesso das outras notas.

Att

Ricardo

[Marcelo Degaspari]

Olá pessoal, ontem e antes de ontem não acessei aqui... viagem a negócios. 

Pois bem, ele não copia e emite notas fiscais em meu nome não. Ele consegue ver as notas que eu emiti!!! Estava com ele ao telefone e ele me disse, "olha, vc vendeu x produto a x reais para o x cliente, nota fiscal y. Emitiu tb uma NFe XXXX, para o cliente x a x reais o valor do produto x".

Ou seja, ele tem acesso ao XML e PDF de todas as notas que emito.

Alterei todas as senhas possíveis (e que eu me lembrasse) por enquanto. Inclusive do Certificado Digital (tenho 2) e consegui ver que ele não hackeia o meu servidor (o que me deu um pouco de tranquilidade, pelo menos).

O que esse cara consegue fazer é, enquanto fala comigo ao telefone, me conta quais as notas foram emitidas hoje, por mim, aos meus diversos clientes. Não sei o que é cNF ou nNF, vou me informar. 

Eu emito NFes por sistema mesmo. Utilizo um software de gestão empresarial profissional chamado Supersoft.

Obrigado pela ajuda ou ideias pessoal. Fico realmente agradecido.

Abraços,

[BigWings]

7 minutos atrás, Marcelo Degaspari disse:

Eu emito NFes por sistema mesmo. Utilizo um software de gestão empresarial profissional chamado Supersoft.

Pegue uma NFe emitida e veja a chave da NF-e, são 44 caracteres, compostas pelos campos:

nNF é o Número da NF-e.

cNF é o Código Numérico.

O código numérico deve ser um número aleatório, ele existe para que terceiros não consigam adivinhar a chave de outra nota da mesma empresa. Se o código numérico for igual ao número da NF-e, seu sistema está vulnerável.

Entre em contato com o suporte deles.

[Gr@c@]

O sistema deve enviar as NF-e (xml e pdf) por email automaticamente. Então o problema pode ser que os seus emails estão sendo acessados de alguma forma, talvez o problema esteja no seu provedor de email. Verifique também se os emails com os xmls estão sendo enviados com cópia para alguém. 
 

Editado 28 Setembro, 2017 por Gr@c@

[Marcelo Degaspari]

25 minutos atrás, BigWings disse:

Pegue uma NFe emitida e veja a chave da NF-e, são 44 caracteres, compostas pelos campos:

nNF é o Número da NF-e.

cNF é o Código Numérico.

O código numérico deve ser um número aleatório, ele existe para que terceiros não consigam adivinhar a chave de outra nota da mesma empresa. Se o código numérico for igual ao número da NF-e, seu sistema está vulnerável.

Entre em contato com o suporte deles.

Peguei uma nota aqui e segui essa tabela. 

O nNF e o cNF estão diferentes, mas não muito. Exemplo prático ok? Com base na NFe que tenho em mãos: nNF: 000045398 e cNF 00045811.

Vi que estava diferente. Mas por curiosidade peguei uma outra nota, a nNF 000045396 com cNF 0045809.

Olhem que interessante, a diferença entre o nNF e o cNF é sempre 413.

Como esse sujeito é meu cliente, ele pode ter pegado várias notas minhas e viu esse padrão de diferença, correto? Ou estou viajando muito na maionese?

Abraços,

 

 

Editado 28 Setembro, 2017 por Marcelo Degaspari

[Daniel Simoes]

por isso que o cNF deve ser randômico...

Reporte o problema a Sw.House... eles precisam corrigir isso...

[Marcelo Degaspari]

17 minutos atrás, Daniel Simoes disse:

por isso que o cNF deve ser randômico...

Reporte o problema a Sw.House... eles precisam corrigir isso...

Por favor, o que é Sw.House? Desculpa minha insistência e ignorância.

Abraços,

[Daniel Simoes]

3 minutos atrás, Marcelo Degaspari disse:

Por favor, o que é Sw.House? Desculpa minha insistência e ignorância.

Software House... é a empresa que desenvolveu o seu sistema...

[Marcelo Degaspari]

Entrei em contato. Vamos ver se/quando conseguem resolver esse ponto de vulnerabilidade.

Mas me digam.... como que a pessoa, sabendo que meu cNF segue um padrão com o nNF, consegue acessar TODAS as minhas Nfes?

Porque parece que o acesso dele é bem rápido, ou seja, conversando com ele por telefone, ele já sabia o que eu tinha emitido naquele dia!!

E o cara ainda deixou escapar que estava no balcão da loja (não no próprio escritório) e mesmo assim, pelo computador da loja que ele trabalha, ele conseguia acessar. Ou seja, está usando algo Web mesmo.

Abraços,

 

[Sérgio Assunção]

1 hora atrás, Gr@c@ disse:

O sistema deve enviar as NF-e (xml e pdf) por email automaticamente. Então o problema pode ser que os seus emails estão sendo acessados de alguma forma, talvez o problema esteja no seu provedor de email. Verifique também se os emails com os xmls estão sendo enviados com cópia para alguém. 
 

@Marcelo Degaspari
Ou mesmo uma base de dados que permita um acesso remoto ou mesmo na nuvem pode possibilitar um acesso fácil. Um banco de dados com uma configuração default e uma porta aberta é algo que pode ser explorado e não requer muito conhecimento.

Eu mesmo conheço vários sistemas em que o desenvolvedor mantém os parâmetros de conexão no componente database.
 

[Daniel Simoes]

2 horas atrás, Marcelo Degaspari disse:

Mas me digam.... como que a pessoa, sabendo que meu cNF segue um padrão com o nNF, consegue acessar TODAS as minhas Nfes?

Com base das informações... ele computa a chave e consulta a mesma no site do Sefaz

http://www.nfe.fazenda.gov.br/portal/consulta.aspx?tipoConsulta=completa&tipoConteudo=XbSeqxE8pl8=

[EMBarbosa]

 

2 horas atrás, Marcelo Degaspari disse:

Entrei em contato. Vamos ver se/quando conseguem resolver esse ponto de vulnerabilidade.

Veja bem, eles precisam corrigir ou te orientar. Eles tem conhecimento do funcionamento do sistema deles e provavelmente da sua infraestrutura.

[renardk]

Todas as Notas Fiscais tem a mesma forma de composição da chave, é uma regra padrão pra todos, porém acho que quem está fazendo isso com você está tentando  atormentar  você ou conseguir algo com isso "tipo vender o produto dele".

-Afinal se tiver alguma vulnerabilidade, todos que emitem nota no brasil estarão vulnerareis, pois todos geram as chaves de notas da mesma maneira.

-Analisando assim meio por cima diria que esse cara pegou algum xml seu e esta bricando de dar sequencia nos próximos números.

Editado 28 Setembro, 2017 por renardk

[Daniel Simoes]

42 minutos atrás, renardk disse:

pois todos geram as chaves de notas da mesma maneira.

A solução é simples... basta deixar o cNF randômico...

[Marcelo Degaspari]

Obrigado pela ajuda pessoal... de verdade. Se tiver alguma questão jurídica é só me perguntar. Da mesma forma que não manjo nada de programação e NFe, conheço bastante de leis (sou advogado).

Estou aguardando um posicionamento da Supersoft para resolver essa questão da cNF. Assim que tiver algum posicionamento eu informo aqui.

Abraços,