Portpass verificou um registro de vacinação falso e depois caiu antes de um jogo do Flames

Um aplicativo de Calgary para armazenar e compartilhar registros de vacinação contra a COVID-19 e resultados de testes com estabelecimentos e empregadores.

Que um aplicativo privado, e não um sistema governamental, poderia se tornar o passaporte vacinal de fato de Alberta — com 'IA e blockchain' tornando seus registros confiáveis e à prova de adulteração.

O fundador e CEO de Calgary, Zakir Hussein, criou o Portpass como um aplicativo privado de comprovação de vacinação enquanto a província ainda não tinha um passaporte digital, e a Calgary Sports and Entertainment Corporation o recomendou para jogos do Flames e do Stampeders.

O desenvolvedor web local Conrad Yeung enviou a foto de um candidato a prefeito escolhido ao acaso como sua carteira de motorista, depois um registro de vacinação falso com o nome de um ator — o Portpass o verificou como legítimo. Yeung não encontrou validação de certificado de segurança, um backend acessível publicamente, dados hospedados em um data center da Amazon em Ohio, apesar de o site afirmar que os dados permaneciam no Canadá, e nenhuma evidência da IA e do blockchain anunciados. O parceiro nomeado do aplicativo, a Canadian Digital Health Network, remetia ao próprio Portpass e exibia páginas 404. Quando a CBC ligou para Hussein, ele desligou no meio da entrevista e não retornou as tentativas de contato posteriores.

O recurso central de verificação não verificava: identidades forjadas e registros fabricados passaram como legítimos.

Suas alegações de segurança — residência dos dados no Canadá, verificações por IA e blockchain — foram contraditas pelo que de fato estava hospedado e entregue.

A credibilidade do aplicativo se apoiava em um parceiro de rede de saúde nomeado cujo próprio site remetia ao Portpass e exibia links inativos.

O CEO abandonou uma entrevista gravada quando confrontado com as descobertas, e a empresa ficou em silêncio enquanto o aplicativo falhava publicamente.

Apostou sua distribuição no endosso de um operador de estádio sem a confiabilidade necessária para suportar a carga de um único dia de jogo.

Alegar tecnologias que você não entregou — IA, blockchain, residência local dos dados — desmorona no momento em que um usuário curioso olha por baixo do capô; o logotipo de um parceiro de distribuição não é diligência.

Poucas horas após a ligação da CBC, os usuários viram uma tela cinza exibindo 'undefined undefined' em vez de um nome. Menos de duas horas antes do jogo de pré-temporada do Flames, em 26 de setembro de 2021, a empresa tuitou que estava tendo 'dificuldades técnicas' e disse aos detentores de ingressos que trouxessem registros impressos; torcedores relataram ter ficado presos do lado de fora do Saddledome. Yeung disse que depois recebeu uma ligação de alguém que se dizia policial sobre seus 'tweets de spam', citando um número de distintivo que a polícia de Calgary disse não existir. O Portpass não respondeu a novos pedidos de comentário.