Os 8 principais vazamentos de dados no setor financeiro

O maior vazamento de dados de 2023

Em 2023, o maior vazamento de dados enfrentado por uma instituição financeira ocorreu na agência de cobrança de dívidas NCB Management Services. A empresa foi alvo de um ataque de invasão e exfiltração de dados que aparentemente terminou com o pagamento de um resgate. Ainda assim, as informações de aproximadamente 1,1 milhão de pessoas foram comprometidas. Clientes de instituições como Bank of America e Capital One, entre outras, tiveram dados como endereço, número de Segurança Social (SSN), número de conta bancária e situação da conta vazados durante o ataque à NCB. A agência de cobrança, sediada nos Estados Unidos, só tomou conhecimento da violação três dias após o ocorrido. Posteriormente, a empresa enviou comunicados formais às potenciais vítimas notificando que invasores haviam violado seus perímetros operacionais. Nas cartas, a NCB assegurou que os invasores já haviam sido bloqueados de seus sistemas e que não havia indícios de que as informações acessadas estivessem sendo distribuídas ou utilizadas com fins maliciosos.

A NCB não divulgou detalhes aprofundados sobre a natureza exata do ataque. Entretanto, uma ação coletiva foi protocolada pouco tempo depois da revelação pública do incidente. A denúncia apontava que a rede interna da NCB não utilizava criptografia e podia ser acessada sem a exigência de senhas ou autenticação multifator (MFA). A ação afirma ainda que "a empresa poderia ter evitado o incidente caso tivesse adotado salvaguardas razoáveis de segurança cibernética ou simplesmente eliminado os dados". Uma fonte interna anônima revelou que a agência de cobrança sabia da existência dessas vulnerabilidades em seu ambiente, mas não tomou providências para mitigá-las. O processo judicial permanece em tramitação.

Principais vazamentos de dados no setor financeiro

8 - Robinhood - Engenharia social

• Quando ocorreu o vazamento? Novembro de 2021.

• O que causou o vazamento? Por meio de técnicas de engenharia social, atores maliciosos ludibriaram um funcionário da equipe de suporte ao cliente para obter credenciais de acesso a determinados sistemas internos de atendimento.

• Quantos clientes foram afetados? Aproximadamente 7 milhões de usuários.

• Qual foi o impacto? A brecha vivenciada pela plataforma de investimentos expôs os endereços de e-mail de cerca de 5 milhões de usuários e nomes completos de outros 2 milhões. No caso de aproximadamente 310 usuários, dados complementares como data de nascimento e código postal (CEP) foram expostos. Para cerca de 10 clientes, dados muito mais extensos e detalhados foram acessados.

• O que se pode aprender? Este incidente com esse vetor tático ressalta a relevância inegociável de treinamentos aprofundados para colaboradores, capazes de acompanhar a constante sofisticação dos golpes cibernéticos. A Robinhood comunicou seus usuários de forma ágil e transparente, detalhando o volume de registros comprometidos e as providências emergenciais de contenção adotadas. Essa é uma lição fundamental: transparência e agilidade na resposta. A fintech também distribuiu recomendações práticas aos clientes para resguardar suas contas e informações cadastrais.

7 - Korea Credit Bureau - Ameaça interna

• Quando ocorreu o vazamento? Entre dezembro de 2012 e dezembro de 2013; identificado no início de 2014.

• O que causou o vazamento? Tratou-se de uma ameaça interna (insider threat). O autor do crime foi um funcionário da própria empresa Korea Credit Bureau (KCB). Ele foi formalmente denunciado e detido por furtar cadastros de clientes pertencentes a três grandes emissoras de cartões de crédito enquanto prestava serviços como consultor terceirizado. O indivíduo copiou sistematicamente dados confidenciais para dispositivos de armazenamento externos ao longo de vários meses. As informações subtraídas foram comercializadas para empresas de publicidade e marketing, cujos executivos também foram detidos após o estouro do caso.

• Quantos clientes foram afetados? Ao menos 20 milhões de correntistas e usuários de cartões de crédito — o equivalente a cerca de 40% da população sul-coreana.

• Qual foi o impacto? A violação sofrida por essa agência de análise e classificação de risco financeiro expôs números de identidade (equivalente ao SSN), nomes, telefones, endereços residenciais, além de numerações e datas de validade de cartões. A Suprema Corte da Coreia do Sul condenou a KCB a pagar 62,3 bilhões de wons (cerca de 48 milhões de dólares) em indenizações às vítimas, acrescidos de compensações por danos morais e materiais decorrentes do atraso. Após ação judicial movida em 2015, as vítimas foram ressarcidas pelas três administradoras de cartões quando se comprovou que a recuperação dos registros roubados era inviável.

• O que se pode aprender? O fato de os dados não estarem criptografados viabilizou a extração facilitada das informações, evidenciando que a criptografia de dados em repouso é basilar para proteger cadastros críticos. O episódio da KCB é um alerta severo sobre o perigo e o impacto das ameaças internas. Políticas rigorosas de privilégio mínimo vinculadas a um modelo Zero Trust poderiam ter barrado o acesso indevido às bases.

6 - Experian - Engenharia social avançada

• Quando ocorreu o vazamento? Entre maio e agosto de 2020.

• O que causou o vazamento? Um atacante fazendo-se passar pelo representante oficial de uma empresa cliente legítima enganou um analista da Experian para que este lhe fornecesse cadastros sigilosos. A ação consistiu em uma manipulação altamente qualificada, visto que o fraudador forneceu com exatidão todas as informações e credenciais de verificação institucional que a própria Experian exigia para autenticar clientes corporativos.

• Quantos clientes foram afetados? Aproximadamente 24 milhões de cidadãos e cerca de 800 mil pessoas jurídicas.

• Qual foi o impacto? Restrita à operação da África do Sul, a violação dessa agência de proteção ao crédito expôs nomes, números de identidade civil, meios de contato, endereços residenciais e dados de histórico trabalhista (cargos, empresas e períodos de admissão). Embora a Experian tenha sustentado publicamente ter recuperado o acervo, um grande arquivo com as informações vazadas foi posteriormente localizado no serviço de compartilhamento WeSendIt.

• O que se pode aprender? O caso ratifica a necessidade vital de desenhar processos de validação de clientes com múltiplos fatores de checagem. Destaca também a premência de capacitar equipes contra ardis contemporâneos de engenharia social, visto que o elemento humano é recorrentemente o alvo preferencial de investidas externas.

5 - CardSystems Solutions, Inc. - Exploração de vulnerabilidade

• Quando ocorreu o vazamento? Junho de 2005.

• O que causou o vazamento? Invasores penetraram o perímetro de rede da CardSystems explorando falhas estruturais de segurança para alcançar servidores internos. Os cibercriminosos instalaram malwares capazes de interceptar e armazenar dados de transações com cartões de crédito em tempo real. À época, a empresa atendia a uma carteira de mais de 100 mil estabelecimentos comerciais e processava mais de 15 bilhões de dólares em transações por ano.

• Quantos clientes foram afetados? Mais de 40 milhões de titulares de cartões de pagamento.

• Qual foi o impacto? A brecha desse processador terceirizado expôs nomes, agências, números de conta, numerações completas de cartões de crédito, datas de validade e códigos de segurança (CVV). O vazamento atingiu predominantemente portadores da bandeira MasterCard, estendendo-se também a usuários de Visa e American Express. Inúmeros clientes sofreram transações fraudulentas diretas. A CardSystems sofreu pesadas sanções regulatórias, processos civis e o desmoronamento de suas operações no setor, uma vez que Visa e MasterCard rescindiram os credenciamentos com a operadora. O episódio foi classificado à época como a mais crítica falha de segurança dos EUA, precipitando uma transformação em toda a indústria de meios de pagamento.

• O que se aprendeu? As averiguações técnicas constataram que a CardSystems operava em flagrante desconformidade com os padrões de segurança normativos da indústria de cartões. Caso as exigências fossem rigorosamente cumpridas, a intrusão não teria se concretizado. O acontecimento impulsionou exigências regulatórias mandatórias para segurança de dados corporativos. Discutimos anteriormente os pilares da conformidade e da proteção estrutural de dados em uma de nossas publicações.

4 - JPMorgan Chase - Exploração de vulnerabilidade

• Quando ocorreu o vazamento? Identificado em julho de 2014; início das incursões em junho de 2014. Divulgado oficialmente em outubro de 2014.

• O que causou o vazamento? Invasores exploraram falhas em aplicações web mantidas pelo JPMorgan Chase, especificamente valendo-se de uma vulnerabilidade de dia zero (zero-day), para penetrar servidores que abrigavam dados de correntistas. A falha central de segurança decorreu da existência de um único servidor institucional que não havia recebido a atualização obrigatória de autenticação em dois fatores (2FA).

• Quantos clientes foram afetados? Cerca de 83 milhões de registros (76 milhões de pessoas físicas e 7 milhões de pequenas empresas).

• Qual foi o impacto? O incidente comprometeu nomes, e-mails corporativos e pessoais, telefones de contato e endereços postais. As auditorias internas do conglomerado atestaram que dados de alta sensibilidade, tais como números de Seguro Social ou senhas bancárias de acesso online, não chegaram a ser interceptados; mesmo assim, o comprometimento de cadastros abriu margem considerável para golpes subsequentes de phishing e fraudes de identidade.

• O que se aprendeu? A ocorrência ressalta a importância de governança rigorosa em gestão e varredura de vulnerabilidades em ativos tecnológicos. Mesmo com o banco reportando investimentos na ordem de 250 milhões de dólares ao ano em cibersegurança, a negligência de um único nó desprovido de 2FA viabilizou o acesso invasivo. Uma rotina de aplicação sistemática de patches e atualização é indispensável. Como já apontamos em artigos anteriores, a arquitetura deve priorizar segurança nativa. Ponto positivo a ser registrado: a segregação e segmentação da rede interna do banco impediu a progressão do adversário até os bancos de dados monetários, contendo drasticamente a gravidade do incidente.

3 - Capital One - Controles de acesso frágeis

• Quando ocorreu o vazamento? Março de 2019.

• O que causou o vazamento? Uma ex-analista da infraestrutura da Amazon Web Services (AWS) conseguiu transpor a camada de proteção do ambiente de armazenamento em nuvem da Capital One fazendo uso de credenciais não autorizadas. Aproveitando seu conhecimento técnico prévio da plataforma da AWS, a autora explorou um firewall com regras de configuração incorretas em funcionamento naquela infraestrutura.

• Quantos clientes foram afetados? Aproximadamente 100 milhões de residentes nos Estados Unidos e cerca de 6 milhões no Canadá.

• Qual foi o impacto? A violação comprometeu números de Seguridade Social e contas correntes nos EUA, acompanhados de datas de nascimento, endereços, números de contato, saldos contábeis, históricos de transação e classificações de pontuação de crédito (credit scores). A agressora foi julgada e condenada criminalmente por invasão de dispositivo e fraude eletrônica. A Capital One foi multada pelos órgãos de regulação em 80 milhões de dólares e celebrou acordo de ressarcimento de 190 milhões de dólares voltado aos consumidores lesados.

• O que se aprendeu? A ocorrência comprova a urgência de estabelecer parâmetros severos de gestão de identidade e controle de acesso a acervos com dados sensíveis. O monitoramento contínuo de configurações na nuvem é indispensável, sendo potencializado por auditorias permanentes. Outro gargalo crucial foi a regra falha de segurança no firewall corporativo, que abriu a janela de exploração. Escaneamentos periódicos e simulações regulares de intrusão são indispensáveis para homologar e assegurar a resiliência das ferramentas de proteção de perímetro.

2 - Heartland Payment Systems - Injeção de SQL

• Quando ocorreu o vazamento? Final de 2008; verificado e comunicado ao mercado em janeiro de 2009.

• O que causou o vazamento? Agentes hostis recorreram a uma abordagem mista: exploraram uma vulnerabilidade de injeção de SQL (SQLi) acoplada à injeção de código executável malicioso por meio de um formulário público no site da própria Heartland. Uma vez estabelecida a ponte na rede corporativa, implantaram softwares espiões direcionados a interceptar em tempo real os pacotes de dados das transações de cartões enquanto viajavam pela rede.

• Quantos clientes foram afetados? Estima-se 130 milhões de pessoas.

• Qual foi o impacto? A empresa, atuante no ecossistema de infraestrutura de processamento de meios eletrônicos, teve expostos números inteiros de cartões de débito e crédito, nomes gravados nas tarjas, prazos de validade e códigos verificadores criptográficos.

• O que se aprendeu? A experiência evidencia a premência de defesas profundas: testes contínuos de código com correção dinâmica de falhas, adoção de mecanismos internos de controle de fluxo e criptografia obrigatória das mensagens de dados financeiros em trânsito. A Heartland implementou amplas revisões de seus ambientes para bloquear brechas remanescentes e erradicou os malwares e as portas dos fundos (backdoors) mantidas pelos invasores.

1 - Equifax - Ataque à cadeia de suprimentos de software

• Quando ocorreu o vazamento? Comunicado publicamente em setembro de 2017; a violação teve início em março de 2017 e persistiu de maneira indetectada até o mês de julho daquele mesmo ano.

• O que causou o vazamento? A instituição foi invadida a partir da exploração direta de uma vulnerabilidade no sistema online de registro de reclamações de consumidores. A falha técnica (registrada como CVE-2017-5638) residia no Apache Struts, uma plataforma de código aberto muito utilizada na construção de portais corporativos sob Java. A Equifax negligenciou a aplicação tempestiva do patch de segurança, o qual havia sido disponibilizado pela comunidade desenvolvedora cerca de seis meses antes do ataque. O aplicativo desprotegido serviu de ponte de acesso a um banco de dados que mantinha nomes de usuário e senhas armazenados em texto claro (sem criptografia), viabilizando que os agressores navegassem pelas estruturas mais profundas do datacenter.

• Quantos clientes foram afetados? Aproximadamente 147 milhões de consumidores.

• Qual foi o impacto? O incidente na agência de classificação de crédito comprometeu nomes, datas de nascimento, números de Segurança Social, carteiras de habilitação e registros de cartões de crédito. A ausência de segmentação de redes internas permitiu que invasores navegassem lateralmente sem resistência, alcançando credenciais administrativas desprotegidas e perpetuando acessos ilícitos contínuos sem levantar alarmes. A Federal Trade Commission (FTC) condenou a Equifax ao pagamento de multas e reparações que somaram cerca de 700 milhões de dólares por falhas elementares e inaceitáveis no dever de proteção dos dados sob sua custódia.

• O que se aprendeu? O parecer regulatório da FTC foi taxativo: práticas operacionais básicas e consolidadas teriam blindado o ecossistema e impedido o vazamento por completo. A primeira medida básica consistia em manter repositórios atualizados e mapear ativamente alertas sobre componentes e bibliotecas de código de terceiros. A segurança na cadeia de suprimentos de software torna-se mandatória e inegociável quando o ecossistema depende de pacotes abertos. Já exploramos esse tema em outra postagem técnica. Outro descuido fatal foi a falta de criptografia generalizada em senhas de serviço e dados sensíveis em repouso. O quadro também acentua a importância de impor modelos seguros de autenticação e garantir segmentação lógica e física estrita de rede para eliminar o risco de movimentação lateral.

Compreender com clareza o histórico dessas vulnerabilidades permite às corporações articular posturas defensivas muito mais eficazes contra brechas corporativas. Isso requer a obrigatoriedade de senhas robustas, a implantação emergencial de correções de bugs de segurança, o enrijecimento dos critérios de permissão e acesso, a conscientização continuada de colaboradores em segurança da informação e a manutenção de planos operacionais estruturados de resposta a incidentes.

Fluid Attacks no combate a violações e vazamentos de dados

Todas essas violações de grande escala, deflagradas por agentes maliciosos, deixam patente que o ecossistema digital oferece variados caminhos de infiltração quando encontra práticas negligentes. Vale destacar uma constatação essencial: os cinco maiores vazamentos da lista decorreram diretamente de vulnerabilidades de software. É justamente por isso que a equipe da Fluid Attacks recomenda enfaticamente auditorias contínuas de segurança, unindo o dinamismo de ferramentas automatizadas com a precisão investigativa de especialistas em testes de intrusão (pentest).

Entre em contato conosco e descubra como nossa solução pode fortalecer a postura de segurança da sua organização.