BVD 2021 — Exposição de dados empresariais públicos

As categorias de dados verificadas incluem datas de nascimento, endereços de e-mail, cargos, nomes, números de telefone e endereços físicos. Os endereços físicos foram considerados, em sua maioria, endereços corporativos. Ainda assim, nomes, cargos, números de telefone e endereços de e-mail reunidos na mesma coleção podem fornecer contexto útil para tentativas de fraude. Uma mensagem de fornecedor, uma solicitação de executivo, um contato de recrutamento ou uma ligação de suporte em nome de uma pessoa pode parecer mais convincente quando contém detalhes reais do ambiente de trabalho.

Identificadores persistentes, como a data de nascimento, podem aumentar o risco de falsificação de identidade e engenharia social quando associados a informações profissionais. Endereços de e-mail podem ajudar invasores a selecionar alvos para campanhas de phishing, enquanto números de telefone direto podem ser usados em fraudes por voz ou para pressionar pessoas por mensagens. Senhas, nomes de usuário, dados de cartões de pagamento, detalhes de sessão e segredos de autenticação não estão entre os campos verificados. Essa limitação é essencial para interpretar o que um resultado positivo pode ou não indicar.

Considera-se que o evento ocorreu por volta de agosto de 2021. Relatos mencionam um conjunto de dados mais amplo, com centenas de gigabytes e centenas de milhões de linhas brutas; o volume de linhas brutas não equivale à contagem de pessoas, endereços de e-mail ou contas de usuário únicos. A métrica pública é de 27.917.714 endereços de e-mail únicos. Ela não mostra quantas vezes um endereço apareceu, se ele constava em mais de um campo ou se as informações empresariais relacionadas permaneceram atualizadas ao longo do tempo.

Foi verificado que o material era uma coleção de informações empresariais públicas em poder de um cliente. Não há evidências de acesso não autorizado à infraestrutura do provedor do serviço, nem de exposição dos ambientes dos clientes da organização controladora. Essa distinção torna incorreto classificar o evento como uma violação direta dos sistemas do provedor. Também não é possível concluir que cada endereço de e-mail apareceu acompanhado de todos os campos listados ou que todas as informações estavam atualizadas no momento da publicação.

Funcionários e executivos cujo e-mail profissional, número de telefone direto, cargo ou endereço físico aparece na coleção são alvos mais visíveis. Invasores podem usar esses campos para elaborar solicitações de pagamento que imitam a hierarquia interna, correspondências falsas de fornecedores, contatos de recursos humanos ou ligações que parecem vir de uma equipe de suporte. Pessoas que trabalham nas áreas de finanças, compras, folha de pagamento ou assistência executiva devem ter atenção especial, pois os cargos podem tornar mais plausíveis as suposições sobre os processos da empresa.

Uma data de nascimento combinada com um nome e dados de contato pode facilitar a associação entre perfis pessoais e profissionais. Mesmo quando uma função anterior, um cargo ou um endereço da empresa já não está atualizado, um invasor pode usá-lo para estabelecer uma relação inicial de confiança. O risco para a organização não se limita às pessoas listadas na coleção; equipes próximas também podem ser alvo de mensagens convincentes e solicitações falsas relacionadas a processos de trabalho.

Verifique por um canal separado qualquer solicitação inesperada de pagamento, alteração de dados bancários, pedido de compartilhamento de documentos ou instrução que pareça vir da alta administração. Endereços de e-mail e números de telefone conhecidos não comprovam que uma mensagem é autêntica. Para solicitações sensíveis feitas em nome de alguém conhecido, use um número de telefone que você já conheça, uma confirmação presencial ou um canal corporativo de comunicação separado.

Mantenha a autenticação multifator ativada no e-mail profissional e preste atenção aos alertas sobre links e anexos suspeitos nos aplicativos de e-mail. Não há evidência verificada de dados de senhas neste caso, portanto uma senha não deve ser considerada exposta apenas por causa de um resultado positivo. A proteção geral das contas continua exigindo senhas fortes e exclusivas, e mensagens suspeitas devem ser comunicadas prontamente à equipe de segurança da organização.

As organizações devem revisar regularmente os dados de contato de funcionários e executivos visíveis na web pública, remover informações desnecessárias sobre datas de nascimento e telefones diretos e limitar a exposição online de cargos de alto risco ao que for necessário para fins comerciais legítimos. Processos críticos de pagamento, alteração de fornecedores e documentos confidenciais devem exigir dupla aprovação e confirmação por um canal independente. As políticas de autenticação de domínio de e-mail devem permanecer ativas, e os funcionários devem receber treinamento para reconhecer sinais de falsificação de identidade nas comunicações.

Revise seus perfis profissionais e suas preferências de contato, remova informações profissionais desatualizadas e, sempre que possível, reduza os campos visíveis para todos. Frases de verificação compartilhadas pelas equipes de suporte técnico, recursos humanos e finanças podem dificultar que invasores conquistem confiança com detalhes desatualizados. As equipes de segurança podem aprimorar a qualidade das defesas avaliando os relatos de phishing e os cenários de pagamentos fraudulentos em exercícios regulares.

Uma consulta de endereço de e-mail pode mostrar se ele aparece nesta coleção de dados empresariais. Um resultado positivo não comprova que todos os campos listados estavam na mesma linha, que as informações continuam atualizadas ou que uma conta foi acessada. A contagem representa identificadores de e-mail únicos e não deve ser interpretada como o total de contas afetadas. Use o resultado para revisar seus hábitos de comunicação diante da possibilidade de fraudes direcionadas.

Se houver um resultado positivo, avalie com cuidado redobrado as solicitações inesperadas recebidas por e-mail profissional, telefone e perfis profissionais. Funcionários devem avisar sua equipe de segurança ou de tecnologia da informação e comunicar solicitações de pagamento, acesso ou documentos que usem seu nome ou cargo. A autenticação multifator, as senhas exclusivas e as opções de recuperação atualizadas continuam importantes para a proteção das contas pessoais. Essas medidas reduzem o risco criado pela combinação de informações públicas.