Três grandes casos de vazamento de dados

Vazamentos de dados ocorrem constantemente, por todos os tipos de motivos. Os que chegam às notícias têm três coisas em comum:

1. Esses dados dizem respeito a você e a mim, ao público, às pessoas comuns.
2. Esses dados afetam muitos de nós, milhões, até mesmo bilhões.
3. As empresas responsáveis pelos dados são nomes conhecidos.

Neste artigo, vamos analisar três empresas famosas, cada uma das quais sofreu um grande vazamento de dados de usuários. Outros incidentes recentes, como a violação de dados da Welltok, também destacaram a crescente magnitude desses ataques.

O valor dos dados

Para hackers e criminosos cibernéticos, os dados pessoais, ou Informações de Identificação Pessoal (PII), são uma espécie de moeda. (PII se refere a itens como datas de nascimento, números de cartão de crédito, endereços de e-mail — qualquer coisa que possa ser usada para identificar um indivíduo.) Esses dados são valiosos. Registros pessoais podem ser vendidos a outros criminosos por até US$ 250 por pessoa. Registros de PII podem ser usados para obter fundos de forma fraudulenta, seja se passando por alguém ou chantageando alguém. Se os dados incluírem senhas com criptografia fraca, elas podem ser descriptografadas e usadas para invadir outras contas, já que muitos de nós reutilizamos a mesma senha em vários sites.

Vazamentos de dados não são um problema novo. Mas a reação do público a grandes vazamentos de dados mudou. Muitas empresas baseiam todo o seu modelo de negócios na monetização dos dados pessoais privados de seus clientes. Quando esses dados se tornam públicos, os clientes fogem, a reputação desmorona e os preços das ações caem. Tudo isso resulta em prejuízo econômico para a empresa responsável pelos dados.

Como ocorrem as violações de dados

Existem muitas razões para as violações de dados e muitas maneiras de classificá-las. A forma mais reveladora é agrupá-las em evitáveis e inevitáveis. Um exemplo de violação de dados inevitável seria a exploração de uma vulnerabilidade desconhecida (zero-day) em um software.

Uma violação de dados evitável seria causada por uma configuração incorreta de um servidor ou banco de dados, pelo envio ou publicação acidental de credenciais em texto simples ou, o que é mais lamentável, pela falta de atualização de software. A violação de dados da MOVEit é um exemplo notável, em que sistemas desatualizados foram explorados, levando a um impacto generalizado. É lamentável porque envolve uma omissão, e não uma ação errada. É o caso clássico em que a inércia leva ao desastre.

O custo de uma violação de dados também pode ser um fator motivador tanto para a seleção de alvos quanto para a proteção dos dados. O custo de uma violação não se resume apenas à reputação — ele pode ser calculado em dólares reais com base no valor de um registro na dark web, no tempo de inatividade causado e no custo de longo prazo da recuperação e das multas por descumprimento de normas.

Por que evitamos aplicar correções de software

Aqui estão algumas respostas clássicas (e nossas interpretações) a pesquisas do setor que perguntam às empresas por que elas não instalam patches de software imediatamente.

Para ilustrar melhor, aqui estão os detalhes de três casos famosos de vazamento de dados.

1. Equifax (2017)

• Os dados pessoais de 148 milhões de pessoas foram roubados.
• Os hackers exploraram uma vulnerabilidade conhecida que ficou sem correção por 2 a 5 meses.

Com sede em Atlanta, Geórgia, a Equifax é uma empresa de classificação de crédito ao consumidor que integra o índice S&P 500. Ela emprega 9.900 pessoas e atende a 800 milhões de clientes e 88 milhões de empresas.

É grande, e provavelmente foi por isso que se tornou alvo — um único ataque rende muitos dados.

A Equifax foi vítima de uma vulnerabilidade conhecida no Apache Struts, uma estrutura de código aberto que as empresas utilizam para desenvolver aplicativos web em Java.

Os acontecimentos se desenrolaram da seguinte forma:

• 7 de março de 2017: Vulnerabilidade relatada e corrigida.
• Julho de 2017: a Equifax sofreu um ataque cibernético.
• 29 de julho de 2017: Detectada uma violação de dados.
• 7 de setembro de 2017: Divulgação de violação de dados.

No entanto, nem tudo se deveu à inércia humana. Eles tinham um scanner de vulnerabilidades, mas ele não detectou o problema.

Aulas

• Não adie a instalação das atualizações.
• Os scanners não conseguem detectar vulnerabilidades desconhecidas.

2. Marriott (2018)

• Os dados pessoais de327/383/500 milhões de pessoas foram roubados (as estimativas variam).

Com sede em Maryland, essa empresa norte-americana do setor de hospitalidade está listada tanto no S&P 500 quanto no NASDAQ-100.

A empresa emprega cerca de 177 mil pessoas e é mais conhecida por sua rede de hotéis, uma das mais de 30 marcas espalhadas por mais de 7.000 estabelecimentos em 130 países. (Se você não conhece o nome, precisa sair mais por aí.)

Descobriu-se que o sistema de reservas do grupo hoteleiro Starwood (uma empresa adquirida anteriormente) havia sido acessado ilegalmente por um período de até quatro anos antes de ser detectado. Uma ferramenta de segurança interna sinalizou uma consulta suspeita ao banco de dados. Após investigação, constatou-se que os dados extraídos haviam sido criptografados antes da exfiltração. A equipe da Marriott levou dois meses para descriptografar as informações. O conjunto de dados continha números de passaporte e de cartão de crédito, entre outras informações de identificação pessoal (PII).

• 8 de setembro de 2018: Detectada uma violação de dados.
• 19 de novembro de 2018: Investigação sobre violação de dados.
• 30 de novembro de 2018: Divulgação de violação de dados.

Aulas

• Quando você compra uma empresa, também está comprando seus dados e assumindo a responsabilidade por eles.

3. Yahoo (2013–2014)

• Os dados pessoais de 3 bilhões de pessoas foram roubados.

O Yahoo sofreu ataques cibernéticos em 2013 e 2014, mas a verdadeira magnitude das violações de dados só foi revelada em 2017, quando foi anunciado que os dados de todos os titulares de contas do Yahoo haviam sido roubados. (A demora na divulgação teve muito a ver com a negociação, então em andamento, para a aquisição do Yahoo pela Verizon, que acabou fechando o negócio com um desconto de US$ 350 milhões.)

Os dados roubados incluíam nomes dos titulares das contas, datas de nascimento, números de telefone e senhas com criptografia fraca. Esse último detalhe fez com que muitas outras contas dos usuários fossem invadidas, já que muitas pessoas reutilizam a mesma senha em vários sites.

Aulas

• Quanto maior for a sua empresa, mais atraentes serão os seus dados.

Os dados pessoais são o novo petróleo, e estão vazando por toda parte. Com eles, as empresas constroem impérios e os governos obtêm informações. Os hackers se aproveitam dos resíduos, arrancando mais receita por meio de extorsão, chantagem e roubo. Esses incidentes não se limitam a violações de grande repercussão, vazamentos de dados devido a pequenas falhas de configuração também podem expor informações confidenciais.

A aplicação automática de patches elimina uma das causas mais evitáveis de violações de dados: softwares desatualizados. A solução de aplicação de patches em tempo real da KernelCare protege os kernels do Linux. Você pode ler mais sobre como um gerenciamento mais ágil de patches possibilita a conformidade em nosso artigo baseado na palestra proferida na RSA Conference por Igor Seletskiy, CEO da KernelCare.