Vazamento de dados e os perigos de informações expostas. - MEMIVI
Preços dos dados vazados em ataque de hacker caem. Veja como está sendo comercializado os mais de 220 milhões de CPFs e outros dados dos brasileiros.
Em janeiro o presidente da PSafe (segurança cibernética), Marco DeMello, identificou durante uma investigação, o vazamento dos dados de 223 milhões de brasileiros. De acordo com o CEO, as informações foram tiradas dos arquivos da maior empresa de análise de crédito do Brasil, segundo relatos do próprio autor do vazamento. Após o megavazamento de dados, as informações dos brasileiros estão sendo vendidas na internet; e ter acesso ao material comercializado ficou mais fácil e barato para golpistas e criminosos.
Estes podem ter acesso a dados como: números de CPFs, CNPJs, sexo, data de nascimento, endereços, e-mails e números de celular. Logo, o anúncio de venda surgiu em um fórum de simples acesso (indexado pelo Google), as informações foram agrupadas em quantidades maiores e vendidas à menores preços. Mas os criminosos que tinham os dados facilitaram a propagação na internet obscura (Deep web), que permite a comercialização desse tipo de material, além de outros como drogas, armas e conteúdos direcionado a pedófilos.
Infelizmente, informações como essas nas mãos de infratores são ótimas oportunidades para a realização de diversos golpes. O anúncio permite facilmente conseguir e-mails e WhatsApp de pessoas em qualquer região do país; e para atrair mais compradores, o cibercriminoso oferece cerca de 10 milhões de registros totalmente grátis.
Confira como os dados e informações são comercializados
No início deste ano o hacker que roubou os dados, comercializava as informações em pacotes menores por CPF (2, 20 e 100 mil números de CPFs). Recentemente, é possível encontrar anúncios no qual as informações foram agrupadas em 40 pacotes maiores, cada unidade contendo 1 milhão de números de CNPJ e 5,6 milhões de CPFs.
A "promoção de dados" tem sido maior com os números de CPFs, pois antes 100 números custavam cerda de US$ 100; 2 mil, o custo era de US$ 500 e 20 mil CPFs era US$ 2.000. Agora, o criminoso cobra 40 mil euros por toda base de dados, mas se algum interessado preferir pode comprar por grupo, o valor será de 1 mil euros.
De acordo com apuração do Tecnoblog, inicialmente estava sendo cobrado cerca de US$ 30 mil por dados como e-mails, números de telefones, título de eleitor, renda, score de crédito, vínculos com familiares e até INSS. A confirmação foi publicada pela plataforma e depois confirmada pelo jornal Estadão.
Anúncios do hacker
Em janeiro, criminosos anunciaram uma amostra do material que possuíam; de forma gratuita, os dados de aproximadamente 40 mil pessoas foram divulgados. No entanto, as formas usadas para atrair compradores foram ficando mais interessantes e com custo menor. Então, o hacker anunciou que seria entregue de graça o 1º lote dos 40 disponíveis, para as negociações realizadas diretamente com ele.
O anúncio divulgado recentemente na deep web, dá indícios que os dados não estão em poder apenas do hacker como ele afirma. Mas ao que tudo indica, as informações já foram muito comercializadas no mundo escuro dessa rede. De acordo com o fórum, o criminoso já teria feito cerca de 700 vendas, uma marca considerada muito alta; além disso na classificação de notas, o hacker possui boa nota, o que significa qualidade e entrega do que é anunciado.
Segundo o fundador da empresa de cibersegurança "Syhunt", Felipe Daragon, não há o que fazer com os dados que já foram espalhados. Essas informações que propagaram continuarão sendo usadas por criminosos, e outros bancos de dados devem surgir. Além de informações atualizadas que surgem de novos vazamentos. Daragon reforça a necessidade de empresas, sociedade e governo compreenderem e adaptarem a nova realidade, dando a todos respostas apropriadas.
No início de março, foi postado um novo anúncio no mesmo fórum do vazamento anterior. Sendo assim, o megavazamento parece ser exemplo claro, que comprova a evolução de base dos dados vazados, e constava informações de 223 milhões de CPF, que supostamente era do Poupatempo. No anúncio constava que os dados partiram do portal; no entanto, a empresa negou ter sido alvo de qualquer ação de criminosos.
A Syhunt, atendendo ao pedido do jornal Estadão, comprou informações inclusas nos 2 vazamentos. Logo, a empresa concluiu que a base de dados Poupatempo seria uma versão mais antiga e simplificada do que a base do começo do ano em janeiro. Essas informações reforça a tese de alguns especialistas de que a base de janeiro possui inúmeras fontes; além de ter sido construída ao longo de muitos anos.
Certamente, os novos preços (mais baratos) anunciados pelo criminoso se deve ao fato de o caso estar sendo investigado pela justiça. Além disso, Alexandre de Moraes, ministro do STF, determinou em fevereiro, que 4 links relacionados a este assunto fossem excluídos; inclusive o tópico do fórum que comercializava a base de dados. Além de serem retirados de serviços de buscas como Google.