Em 2023, a maior violação de dados da história do Yahoo! faz 10 anos.  Por conta disso, 33Giga e ESET reúnem e analisam alguns casos que entraram para a história.

Quer saber tudo sobre Universo Sugar? Clique aqui e leia o e-book O Guia dos Sugar Daddy & Sugar Babies

“Os vazamentos de dados costumam ser mais comuns e frequentes do que gostaríamos. Portanto, é muito importante que, como usuários, saibamos se nossos dados foram vazados de alguma forma, a fim de evitar que sejam usados para fins maliciosos”, diz Camilo Gutiérrez Amaya, Chefe do Laboratório de Pesquisa da ESET América Latina.

A seguir, você relembra desde o incidente da Equifax, que afetou quase metade da população dos Estados Unidos, parte da Grã-Bretanha e Canadá, até o vazamento de mais de um bilhão de dados de cidadãos da Índia.

Quer ficar por dentro do mundo da tecnologia e ainda baixar gratuitamente nosso e-book Manual de Segurança na Internet? Clique aqui e assine a newsletter do 33Giga

Yahoo!

Em 2013, a empresa de serviços de internet Yahoo! entrou para a história por ter sofrido a violação de dados mais importante dos últimos 10 anos.

No início, a companhia havia reconhecido que 1 bilhão de contas foram afetadas. 4 anos depois, em 2017, quando a Verizon adquiriu a empresa e realizou uma investigação com especialistas forenses externos, a real dimensão do ataque cibernético pôde ser tomada e os números eram outros.

A Oath, unidade de internet da Verizon, reconheceu que o número de usuários afetados era de mais de 3 bilhões, todas as contas do Yahoo! na época, e, além de enviar e-mails para notificar os “novos” afetados, publicou em seu site informações adicionais sobre a violação.

Agora, que tipo de informação foi comprometida por esse ataque ? O diretor de segurança da informação do Yahoo!, Bob Lord, disse que o vazamento incluiu nomes, endereços de e-mail, números de telefone, datas de nascimento, senhas com hash e, em alguns casos, perguntas de segurança e suas respostas.

A boa notícia é que os cibercriminosos não tiveram acesso a dados bancários ou de pagamentos, já que o sistema comprometido não hospedava esse tipo de informação.

Marriott International

A rede de hotéis Marriott International ganhou as manchetes em 2018 por algo que começou a tomar forma quatro anos antes e que envolveria quase 400 milhões de registros comprometidos.

Em 30 de novembro de 2018, a Marriott emitiu um comunicado no qual afirmou ter recebido “um alerta de uma ferramenta de segurança interna sobre uma tentativa de acessar o banco de dados de reservas de hóspedes da Starwood nos Estados Unidos”.

Durante a investigação, soube-se que “havia acesso não autorizado à rede desde 2014“.

383 milhões de registros foram comprometidos e incluíam nomes, números de telefone, detalhes de passaporte, endereços de e-mail e até números de cartão de crédito criptografados.

De acordo com o New York Times, o ataque pode ser atribuído a um grupo de inteligência chinês, cujo principal objetivo era coletar dados de cidadãos americanos. A equipe de pesquisa que trabalhou a partir de um alerta feito em 8 de setembro de 2018 disse que os cibercriminosos usavam um Trojan de acesso remoto e uma ferramenta que encontra combinações de nomes de usuário e senhas na memória do sistema.

Equifax

Em setembro de 2017, a Equifax anunciou que havia sofrido uma violação envolvendo dados de aproximadamente 143 milhões de pessoas, ou seja, 44% da população total dos Estados Unidos.

Clientes no Reino Unido e Canadá também foram afetados.

Entre as informações que os cibercriminosos conseguiram acessar estavam nomes de clientes, CPF, datas de nascimento, endereços, números de carteira de motorista e também números de cartão de crédito.

Segundo a própria Equifax, o vazamento ocorreu devido a uma “vulnerabilidade de um aplicativo web para acessar determinados arquivos”.

A Bloomberg disse que o vazamento foi possível por causa de um patch intempestivo que estava disponível dois meses antes do ataque. As consequências não demoraram a chegar: Richard Smith, CEO da Equifax na época, deixou o cargo. A empresa teve que enfrentar processos de usuários e investigações de reguladores nos Estados Unidos, Reino Unido e Canadá, e suas ações no mercado de ações caíram.

Aadhaar

Durante janeiro de 2018, o hack sofrido pela indiana Aadhaar foi tornado público. Os ciberatacantes conseguiram violá-lo por meio do site da Indane, empresa estatal de serviços públicos que estava conectada ao banco de dados do governo por meio de uma interface. O objetivo era recuperar dados armazenados por outros aplicativos ou softwares.

A Indane não tinha os controles de acesso correspondentes e, portanto, expunha os dados da empresa e de todos os usuários que tinham um cartão Aadhaar.

Tornou-se uma das maiores violações de dados governamentais da história: a grande maioria da população da Índia (cerca de 90%) estava exposta a ser uma vítima potencial de crimes como roubo de identidade e outros golpes. Uma investigação realizada pelo jornal Tribune, da Índia, mostrou que por 500 rúpias (algo como 6 dólares) era possível acessar esses dados por meio de um grupo de hackers que os oferecia pelo WhatsApp.

Coleção #1 a #5

O caso da Coleção foi composto por uma coleção de dados que foram extraídos de várias violações antigas. Entre as cinco entregas que essa “saga” teve, conseguiu filtrar o número chocante de 2,2 bilhões de endereços de e-mail e senhas.

Tudo começou em meados de janeiro de 2019, quando se soube que 773 milhões de endereços de e-mail únicos e também mais de 20 milhões de senhas haviam vazado através do MEGA e outros fóruns, através de um pacote chamado Collection #1.

No final do mês, foram lançadas quatro novas pastas que faziam parte do mesmo acervo. A Coleção #2, a Coleção #3, a Coleção #4, a Coleção #5 também incluíram, entre outros dados, nomes de usuário, endereços e senhas, atingindo um peso total de 993,36 GB.

O Instituto alemão Hasso Plattner conduziu uma investigação sobre o vazamento, dizendo que o combo completo das cinco pastas totalizou 2,2 bilhões de registros. Aliás, em alguns fóruns foi oferecido o pacote completo, com o detalhamento do peso de cada pasta.

Como saber se meus dados vazaram?

Sobre como se proteger na internet, o especialista da ESET tem algumas dicas práticas.

“Sites como Have I Been Pwned, Identity Leak Checker, HackNotice são alguns que informam se sua senha vazou. O próximo passo é atualizar as chaves, escolhendo senhas novas e mais seguras, evitando reutilizar a mesma senha em mais de um serviço. Outra prática muito boa é ativar a autenticação de dois fatores em todos os serviços que a têm disponível”, diz Amaya.

Para saber mais sobre segurança da informação, visite o portal de notícias ESET. Sobre o assunto, a  empresa tamb´´em mantém o podcast Conexão Segura. , seu podcast para descobrir o que está acontecendo no mundo da segurança da informação. Para ouvir, acesse este link.