A semana passada foi marcada por dois grandes vazamentos de dados pessoais dos usuários. A Dell
detectou uma invasão em sua própria rede. Endereços e nomes de clientes vazaram, bem como senhas com hash que foram redefinidas à força para todos os usuários.
O vazamento na cadeia de hotéis Marriott acabou sendo maior. Em 2014, os crackers tiveram acesso ao banco de dados de clientes da Starwood Hotels - essa rede de hotéis foi adquirida pela Marriott em 2016.
O acesso não autorizado ao banco de dados de clientes foi descoberto apenas em setembro deste ano. Segundo dados preliminares, 500 milhões de clientes da Starwood sofreram e 327 milhões de hóspedes vazaram nomes, endereços físicos e eletrônicos, números de telefone e passaportes, datas de reserva e outras informações privadas. Este é um vazamento muito sério, comparável a um
ataque a um serviço do Yahoo.
Uma
publicação razoavelmente discreta no site da Dell diz que detectou um ataque em 9 de novembro. Por mais de três semanas, não foi possível estabelecer com segurança o fato de roubo do banco de dados do usuário; só se sabe que havia acesso não autorizado a ele. Forçar senhas para todos os clientes da empresa registrados no Dell.com é, portanto, uma precaução extra. A empresa incentiva seus usuários a usar senhas fortes e a não reutilizá-las em diferentes serviços.
É interessante ver as
práticas recomendadas da Dell para criar senhas fortes. Pelo menos 8 caracteres, letras maiúsculas e minúsculas, pelo menos um número. Não use palavras óbvias, como sobrenome ou nome da rua. Propõe-se criar uma senha, com as primeiras letras para criar uma senha. A confiabilidade da proteção por senha usando hash na empresa também é explicada em detalhes: o algoritmo específico não é divulgado, mas é relatado que foi testado durante um exame independente.
Em geral, a Dell mostra um bom exemplo de reação a um incidente cibernético: os clientes foram notificados, o vazamento de dados foi interrompido, eles contrataram uma empresa para uma auditoria de segurança e a aplicação da lei foi notificada. E tudo isso com uma (presumivelmente) pequena escala de vazamento de dados, embora isso não se refira apenas às senhas: a lista de clientes da Dell também tem valor e, infelizmente, pode ser usada para outros ataques já realizados.
Mas o Marriott é muito mais complicado. Segundo a empresa, o acesso não autorizado ao banco de dados da Starwood Hotels - uma organização independente na época - foi obtido em 2014, e a compra de uma cadeia de hotéis concorrente não ajudou a detectar o vazamento de dados. Somente em 8 de setembro deste ano, um certo "sistema de segurança interno" registrou uma tentativa de acessar o banco de dados. Depois, houve a investigação, durante a qual uma cópia criptografada do banco de dados foi encontrada: supostamente foi copiada para posterior exfiltração da rede corporativa. O fato de baixar o banco de dados não foi registrado, mas, como a rede corporativa foi invadida por quatro anos inteiros, não há dúvida de que os invasores tiveram acesso aos dados do cliente.
E para qual? Foi possível avaliar o dano após descriptografar uma cópia dos dados. Estima-se que 500 milhões de clientes Starwood foram afetados. 327 milhões de registros contêm informações completas sobre o cliente: quando ele entrava e saía do hotel, endereço para correspondência, número do passaporte e assim por diante. As informações “de vários clientes” também incluíam informações de pagamento criptografadas - número do cartão de crédito e data de validade. É provável que os crackers tenham acesso a informações que permitam descriptografar esses detalhes de pagamento. Para os demais (presumivelmente) mais de 100 milhões de clientes, informações limitadas sobre o nome e o endereço vazaram.
Pode-se supor que foi a integração de uma empresa recém-adquirida, incluindo seus serviços de informações, ou melhor, a falta dela, que se tornou um problema: a Starwood continuou a operar como uma estrutura independente após a compra (foi em parte por isso que os hotéis pertencentes à própria rede Marriott não foram afetados). É claro que essas transações comerciais grandes demoram muito tempo e é possível que um vazamento de dados tenha sido descoberto apenas durante a tentativa de mesclar dois sistemas de TI diferentes. Eles prometem notificar os clientes afetados por email e oferecem uma assinatura gratuita de um serviço que monitora a aparência de dados privados na rede. A infraestrutura corporativa aprimorada da Starwood também é prometida.
O vazamento de dados do Marriott tem muito em comum com o roubo de identidade dos usuários de e-mail do Yahoo. Além disso, um vazamento de dados foi detectado em cerca de 500 milhões de usuários, o hack também não pôde ser detectado por um longo tempo - o vazamento supostamente ocorreu em 2014 e foi detectado em 2016. Em outubro do ano passado, outro incidente ficou conhecido, durante o qual os dados dos três bilhões de usuários da empresa supostamente vazaram. Por fim, o Yahoo estava naquele momento negociando a venda dos negócios da Verizon, mas o vazamento ficou conhecido antes da transação e não depois. Como resultado, o valor da empresa durante a aquisição caiu em US $ 350 milhões - considere o dano financeiro direto causado por roubo cibernético.
Mesmo que as informações do cartão de crédito da Starwood não tenham sido afetadas, os cibercriminosos estão monetizando ativamente o acesso às contas de fidelidade da cadeia de hotéis. Em um pequeno
estudo das citações cibercriminosas do especialista da Kaspersky Lab, David Jacobi, você pode ter uma idéia do valor das contas de vários serviços no mercado negro. As contas Netflix, Spotify, Steam custam alguns dólares cada no varejo e alguns centavos - se a granel. Por US $ 10, você pode obter 100 mil combinações com o email e a senha de usuários de um país específico. A troca regular de senhas e o uso de uma senha exclusiva para cada serviço definitivamente beneficiarão a todos, independentemente das notícias sobre o próximo grande hack.
Isenção de responsabilidade: as opiniões expressas neste resumo nem sempre coincidem com a posição oficial da Kaspersky Lab. Caros editores, geralmente recomendam tratar qualquer opinião com ceticismo saudável.