As 10 maiores violações de dados da história

10 - LinkedIn

Em meados de 2012, hackers infiltraram o sistema da rede social e roubaram 117 milhões de endereços de e-mail e senhas de usuários, tanto premium quanto gratuitos. A princípio, acreditou-se que 6,5 milhões de usuários haviam sido afetados, e o LinkedIn fez pouco ou nada para alertá-los sobre o incidente. Mas, em 2016, a venda de todos os dados roubados foi vista na dark web. Foi então que a empresa reconheceu o ataque e divulgou um comunicado aconselhando seus usuários a trocar as senhas, evitar a reutilização de senhas e usar recursos avançados de segurança, como a autenticação de dois fatores. Usuários premium da plataforma de empregos nos EUA entraram com uma ação coletiva, com a qual a empresa concordou, e indenizou em um total de US$ 1,25 milhão as vítimas que pagaram uma assinatura entre 2006 e 2012.

9 - Dubsmash

O aplicativo de mensagens de vídeo que já foi tendência foi afetado por uma violação de dados em 2018. A empresa divulgou a situação em 2019, depois de ver hackers vendendo os dados roubados na dark web. Agentes maliciosos se infiltraram no sistema do aplicativo e acessaram dados de usuários que incluíam nomes dos titulares das contas, nomes de usuário, endereços de e-mail, localizações geográficas e senhas protegidas por hash, o que ainda é um risco de segurança, já que atacantes com recursos e tempo suficientes podem quebrar essas senhas. As informações de 162 milhões de usuários do Dubsmash foram comprometidas, e a empresa respondeu apenas com conselhos sobre o que fazer em caso de violação.

8 - Wattpad

Este site popular de narrativas e publicação foi invadido em 2020. A violação de dados envolveu a exposição de informações de contas de mais de 270 milhões de usuários. O banco de dados, que incluía nomes de usuário, senhas criptografadas, localizações geográficas e e-mails, foi vendido em segredo na dark web por 10 bitcoins (quase US$ 100.000 na época). Pouco foi divulgado sobre a violação, mas sabe-se que ela afetou todos que entraram no site antes de 2017. Conforme a empresa disse em um comunicado, “por excesso de precaução” a Wattpad redefiniu as senhas de todos os usuários.

7 - Marriott International

Esta importante rede hoteleira foi alvo de uma grande violação de dados anunciada em 2018 que expôs as informações pessoais de milhões de hóspedes. Naquele ano, veio a público que hackers haviam obtido acesso não autorizado aos sistemas da Starwood Hotels em 2014, adquirida pela Marriott em 2016, e que copiaram dados de hóspedes antes mesmo de a empresa perceber. Embora algumas duplicatas possam ter inflado o número, os dados de até 327 milhões de hóspedes podem ter sido comprometidos. As informações expostas incluíam diversos dados pessoais, como nomes, endereços postais, números de telefone, endereços de e-mail, datas de nascimento e, em alguns casos, números de passaporte e dados de cartões de pagamento. A violação foi um golpe significativo na reputação da Marriott e um grande golpe financeiro, que resultou em consequências legais por parte de clientes, uma multa pela violação dos direitos de privacidade de cidadãos britânicos sob o GDPR e custos de recuperação dos sistemas.

6 - MySpace

Os mesmos vendedores que ofereceram os dados roubados do LinkedIn em 2016 também afirmaram ter credenciais de uma violação não reportada. Em 2013, o site antes popular MySpace sofreu uma violação que comprometeu dados de 360 milhões de usuários. Ainda assim, ou não souberam ou não se pronunciaram, porque só em 2016 a violação foi exposta por agentes maliciosos em busca de lucro. Nessa época, o MySpace já havia sido comprado pela Time Inc., que informou os usuários dessa rede social sobre a violação e explicou que suas credenciais poderiam ter sido usadas para acessar outros sites. Para o MySpace, que já tinha dificuldade para competir com plataformas de redes sociais mais novas, a revelação da violação foi um grande golpe para sua reputação e para a confiança dos usuários.

5 - FriendFinder Networks

Esta violação de dados de 2016 afetou 412 milhões de contas de usuários em 6 sites diferentes pertencentes a esta empresa de relacionamentos pela internet e de entretenimento adulto. A FriendFinder Networks tinha práticas de segurança inadequadas, como armazenar senhas em texto simples, o que contribuiu para a dimensão da violação. Os 6 bancos de dados roubados incluíam informações como nomes de clientes, endereços de e-mail e senhas. Foi um enorme pesadelo de privacidade para os usuários, expostos a roubo de identidade, tentativas de extorsão e ataques de phishing. A empresa também não se saiu bem: perdeu um número crítico de clientes e sua reputação, sem contar as investigações e multas de agências de proteção de dados que enfrentou.

4 - Yahoo (2014)

A violação de dados de 2014 deste provedor de serviços web foi revelada publicamente em 2016 e afetou nada menos que 500 milhões de contas. As informações roubadas incluíam uma quantidade significativa de dados de usuários, como nomes, endereços de e-mail, números de telefone, datas de nascimento, senhas protegidas por hash e perguntas e respostas de segurança, criptografadas e não criptografadas. Mesmo com as senhas criptografadas, os hackers conseguiram quebrar os hashes com o tempo, e as perguntas de segurança sem criptografia foram usadas para assumir contas. Foi muito preocupante que o Yahoo tenha esperado mais de dois anos para divulgar a violação ao público, dando esse tempo aos atacantes para explorar as informações violadas. Na época, a Verizon Inc. estava no meio das negociações para comprar o negócio principal de internet do Yahoo. Devido a essa violação e às medidas legais tomadas por consumidores e autoridades, a Verizon conseguiu comprar o Yahoo por um valor significativamente menor que o planejado inicialmente. Não será a última vez que ouviremos falar dessa empresa ao percorrermos esta lista.

3 - Aadhaar

O banco de dados de identificação do governo indiano foi violado em 2018 por agentes maliciosos que exploraram vulnerabilidades no mecanismo de criptografia e usaram protocolos de segurança desatualizados para acessar dados sensíveis. A dimensão da violação foi monumental, pois nomes completos, endereços, dados biométricos e números Aadhaar de 815 milhões de cidadãos foram roubados e depois colocados à venda na dark web. Os afetados ficaram vulneráveis a fraudes financeiras, invasão de privacidade e perda de confiança em iniciativas governamentais e sistemas digitais. Como bom exemplo de resposta positiva da entidade comprometida, o governo indiano aprendeu a lição e implementou as mais recentes tecnologias de criptografia, controles de acesso mais rígidos e protocolos de autenticação avançados, fortalecendo assim a infraestrutura de cibersegurança do país.

2 - Cartões SIM da Indonésia

Em 2022, uma violação de dados massiva envolveu registros de cartões SIM de 1,3 bilhão de usuários da Indonésia. Um hacker chamado “Bjorka” surgiu em um popular fórum da dark web vendendo esses perfis de registro de cartões SIM, que revelavam números de documentos de identidade nacionais, números de telefone e nomes de operadoras de telecomunicações, entre outras informações. É importante observar que a população da Indonésia é menor que o número de cartões registrados (275,5 milhões em 2022), o que sugere que os dados podem incluir duplicatas ou registros de pessoas com vários cartões SIM. O governo indonésio inicialmente minimizou a situação, negando a extensão da violação. Infelizmente, os indonésios estão acostumados a ter suas informações expostas, pois isso acontece com tanta frequência que eles até chamam, de brincadeira, a Indonésia de “país open source”. O atacante divulgou um comunicado afirmando que só executou a violação para mostrar a “péssima política de proteção de dados” do país, especialmente quando administrada pelo governo. Isso, entre muitos outros incidentes de cibersegurança, gerou pedidos de uma regulamentação e fiscalização mais rígidas da proteção de dados no país asiático.

1 - Yahoo (2013)

Esta violação foi classificada pelo New York Times como a “maior violação conhecida da rede de computadores de uma empresa” de todos os tempos. Depois que a empresa foi comprada pela Verizon, veio à tona que o Yahoo havia sido violado em 2013 e que os dados de 3 bilhões de usuários haviam sido comprometidos. Isso não deve ser confundido com a violação de 2014, reconhecida em 2016. A empresa confirmou essa violação em 2017, depois que novas informações de inteligência indicaram que todas as contas de usuários do Yahoo foram afetadas pela violação de 2013. O ataque, que comprometeu os mesmos dados de usuários da violação de 2014, teve repercussões financeiras imensas para o Yahoo. Os custos de investigação da violação, de reforço das medidas de segurança, honorários jurídicos, acordos milionários e multas regulatórias superaram os US$ 150 milhões. Os danos à reputação também surgiram, pois o incidente levantou dúvidas sobre a capacidade da empresa de proteger os dados dos usuários e acompanhar os padrões de cibersegurança; tudo isso contribuiu para a queda da base de usuários do Yahoo.

Vale ressaltar que a maioria dessas violações de dados foi resultado de ataques em que vulnerabilidades foram identificadas e exploradas para obter acesso não autorizado. Ao desenvolver software, encontrar vulnerabilidades cedo no SDLC é muito melhor do que fazê-lo depois de uma violação. Por isso recomendamos nossa solução, que identifica, explora e divulga vulnerabilidades no seu software para que você possa corrigi-las imediatamente. Entre em contato para mais informações.