A operadora de telefonia norte-americana T-Mobile confirmou ontem (23) ter sofrido um vazamento de dados, onde hackers tiveram acesso a informações pessoais de cerca de 2,3 milhões de clientes. (https://www.t-mobile.com/customers/6305378821)
Na brecha, cibercriminosos conseguiram capturar dados como: nome, e-mail, código postal, número de telefone, e tipo das contas (pré ou pós-pago). Entretanto, a equipe de segurança da T-Mobile afirma que nenhum dado de cartão de crédito, senhas ou número de Seguro Social foram comprometidos.
A companhia revelou que o incidente foi detectado e contido na segunda-feira, dia 20, pela equipe de cibersegurança. Um porta-voz comentou que apenas que 3% da base de 77 milhões de clientes foi afetada e que os hackers – parte de um “grupo internacional” – utilizaram uma API para acessar o servidor de dados, que foi desativada rapidamente.
Segundo Eduardo Maffessoni, Consultant Engineer da NETSCOUT, houve o comprometimento de um domínio interno de acesso restrito a funcionários. “O domínio estava respondendo requisições vindas da internet com informações confidenciais. Faltava um sistema de controle de borda que validasse as comunicações”, afirma.
Para ele, visibilidade de rede e monitoramento de tráfego (principalmente em relação a bots e sua mitigação), são algumas maneiras de evitar esse tipo de vazamento.
“Todos os casos de vazamento de dados acontecem por falta de visibilidade extensiva do tráfego que passa pela rede das companhias. Com o advento de dispositivos IoT, cada vez mais crescerá o tráfego na rede, e se não houver um sistema que identifique tráfego de robô (bot), mais e mais vazamentos de dados irão ocorrer”, reforça Maffessoni.
De acordo com Felipe Barreto Veiga, advogado especializado em Direito Digital e sócio-fundador da BVA Advogados, existe uma série de soluções técnicas que mitigam o risco de vazamento de dados.
“Nesse tipo de ataque (de black hat hackers) as empresas estão sujeitas à evolução tecnológica dos cibercriminosos, que muitas vezes é mais avançada do que muitas soluções de mercado”, afirma Veiga.
De acordo com o especialista, a companhia agiu rápido para interromper o ataque e diminuir os danos, manifestando-se por meio de comunicado aos clientes. Essa é uma das determinações de boas práticas no tratamento de dados e regras do GDPR.
Maffessoni também acrescenta que “toda empresa deve proteger e resguardar as informações confidenciais de clientes, bem como monitorar seu tráfego que possa dar acesso a essas informações. O impacto não está apenas no aspecto legal, mas também na credibilidade da empresa. Assegurar a confidencialidade dos dados dos clientes é responsabilidade total da empresa que os detêm”, finaliza.
