Na última quinta-feira (25), um hacker anunciou em um fórum na internet que colocava à venda os dados de mais de 12 milhões de brasileiros, incluindo o número e senha de cartão de crédito. O pacote, com informações potencialmente obtidas em fevereiro de 2021, custava US$ 50 mil (R$ 273 mil).
Além dos cartões de crédito, há dados correlacionados, como nome, email, telefone, CPF ou CNPJ. A informação foi noticiada pelo jornal Estadão e confirmada pela reportagem.
O pacote não foi anunciado na deep web, seção oculta da internet que não é indexada em sites de busca, como o Google, onde costumam ocorrer essas vendas. No entanto, isso não significa que não esteja disponível nessa área. A reportagem confirmou com a empresa de cibersegurança Syhunt a relação de nomes das pessoas com os cartões de crédito.
Leia mais:
PF fará reconstituição das explosões na praça dos Três Poderes e Câmara dos Deputados
PEC 6x1 ainda não foi debatida no núcleo do governo, afirma ministro
PEC que propõe fim da escala de trabalho 6x1 alcança número necessário de assinaturas, diz Hilton
Falta de Ozempic em farmácias leva pacientes à busca por alternativas
Em um primeiro momento, é impossível comprovar se as informações anunciadas são factíveis. O hacker exibe de modo rasurado, uma forma de não evidenciar o conteúdo de sua venda.
Especialistas dizem que alguns indícios podem ser considerados em casos do tipo. Nesse caso, o hacker, ou o coletivo de hackers, com pseudônimo "gneziol", tem credibilidade dentro do fórum. Procurado, ele não se manifestou.
Segundo o anúncio, as informações foram capturadas por marcas da empresa Eduzz, uma plataforma que auxilia empreendedores com melhora de performance em vendas online. A empresa não se manifestou até a publicação deste texto.
Não há paralelo evidente entre esse vazamento e os anteriores, como o que ocorreu em janeiro deste ano e expôs cerca de 220 milhões de CPFs e uma série de documentos pessoais, além de outro episódio em que ocorreu o vazamento de 100 milhões de contas de celular. Há possibilidade, entretanto, de que essas bases sejam compiladas e agregadas, fornecendo ainda mais risco aos consumidores.
"Alguns vazamentos podem contribuir para que outros ocorram, e aí vira um efeito dominó. Os dados de diferentes vazamentos podem ser agregados. Com a senha, é possível chegar a uma conta administrativa vazada de outra leva, e conseguir acessá-la, por exemplo", diz Felipe Daragon, da Syhunt.
A recomendação inicial para qualquer pessoa que possua cartão de crédito é ficar atento a movimentações financeiras e alterar a senha de acesso do aplicativo e do próprio cartão. Qualquer compra diferenciada deve ser registrada para eventual contestação no banco.
O pagamento aos vendedores de dados costuma ser feito com criptomoedas, impossíveis de rastrear.
De acordo com a LGDP (Lei Geral de Proteção de Dados), se a empresa identificar que houve violação cibernética em seu sistema, deve informar a clientes e potenciais cidadãos afetados. As multas da nova legislação estão previstas apenas a partir de agosto.
Procurada, a ANDP (Autoridade de Proteção de Dados), ainda não se manifestou.