Vazamento de dados do Western Alliance Bank em 2024

A principal evidência é a carta do Western Alliance Bank aos consumidores, publicada nos registros regulatórios da Califórnia e de Massachusetts. Em nome do banco, o documento descreve diretamente a vulnerabilidade no software de terceiros, o período de acesso e obtenção dos arquivos, as datas de descoberta e análise dos dados, os campos de informação confirmados, a notificação às autoridades policiais e o serviço de proteção de identidade oferecido.

Os registros das procuradorias-gerais do Maine e de outros estados também corroboram o processo de notificação. O Claim Depot reúne links para esses documentos oficiais e publica, de forma estruturada, o total nacional de 21.899 pessoas e os subtotais por estado. As fontes concordam quanto ao período do incidente, ao software de transferência de terceiros, à cópia dos arquivos e às principais categorias de dados.

O software de transferência segura de arquivos usado pelo Western Alliance e por muitas outras organizações continha uma vulnerabilidade até então desconhecida. Um agente não autorizado a explorou em outubro e acessou uma parte limitada dos sistemas do banco. A investigação determinou que esse agente obteve determinados arquivos entre 12 e 24 de outubro.

O banco tomou conhecimento de um possível acesso em 27 de janeiro de 2025, iniciou a análise dos arquivos e constatou, em 21 de fevereiro, a presença de informações pessoais. Uma fonte secundária relata que o grupo CL0P reivindicou a responsabilidade, enquanto a carta aos consumidores não identifica o responsável nem atribui o incidente a ransomware. O LeakData trata a vulnerabilidade de terceiros e a obtenção dos arquivos como fatos verificados, sem apresentar a reivindicação do grupo como uma atribuição conclusiva de autoria.

A notificação lista nomes e números do Seguro Social como os principais campos confirmados. Datas de nascimento, números de carteiras de motorista, números de identificação fiscal e passaportes também podem ter estado presentes quando a pessoa havia fornecido esses dados ao banco. Não se deve presumir que a mesma combinação estava presente para todas as pessoas afetadas, pois o alcance variava conforme o cliente e o arquivo.

A combinação de SSN, identificação fiscal, data de nascimento e documento emitido pelo governo cria um risco de longo prazo de obtenção fraudulenta de crédito, fraude fiscal, uso indevido da identidade empresarial e phishing direcionado. Quando um passaporte ou uma carteira de motorista esteve envolvido, pode ser útil consultar as opções de renovação e de denúncia de uso indevido oferecidas pelo órgão emissor. Não compartilhe imagens de documentos ou códigos de verificação por meio de mensagens inesperadas que usem a marca do banco.

O banco informou que alguns arquivos podem ter contido números de contas financeiras. Esse campo pode viabilizar fraudes relacionadas à conta, solicitações fraudulentas de pagamento ou ações de engenharia social que usem informações precisas sobre a conta para abordar o cliente. A carta pública não identifica o tipo de conta, o nome da instituição financeira nem se a conta permanecia aberta no momento do incidente.

A fonte não confirma especificamente a presença de números de cartões de pagamento, datas de validade, CVVs, PINs, senhas de banco on-line, números de roteamento bancário, saldos ou históricos de transações. Se você recebeu a notificação, ative os alertas de atividade pelo aplicativo oficial do banco e informe diretamente à instituição qualquer transferência, favorecido ou alteração de perfil que não reconheça.

O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a cada pessoa. Os subtotais incluem 1.222 residentes do Texas, 539 de Washington, 41 de New Hampshire, 17 de Massachusetts e seis do Maine. Esses números estaduais já fazem parte do total nacional de 21.899 e não devem ser somados novamente a ele.

O Western Alliance informou que, até a data da notificação, não tinha evidências de que as informações pessoais tivessem sido usadas indevidamente para fraude ou roubo de identidade. Essa avaliação, limitada àquele momento, não elimina riscos futuros. Como foi confirmado que o agente obteve cópias de arquivos e que havia identificadores de uso prolongado, como SSNs, se você recebeu a notificação, mantenha o monitoramento do seu crédito e das suas contas a longo prazo.

O Western Alliance notificou as autoridades policiais, reforçou as medidas técnicas de segurança e ofereceu às pessoas elegíveis uma assinatura gratuita de um ano do Experian IdentityWorks Credit 3B. O serviço inclui monitoramento de crédito nas três agências de crédito, restauração de identidade, assistência contínua após o término da assinatura e seguro contra roubo de identidade de até $1 milhão, sujeito aos termos aplicáveis. Os detalhes para adesão estão nas cartas individuais.

Se você recebeu a notificação, faça a adesão somente com o código da carta oficial e verifique seus relatórios de crédito e suas contas no Western Alliance em busca de atividades que não reconheça. Quando um SSN ou número de identificação fiscal esteve envolvido, pode ser adequado solicitar o bloqueio de crédito nas três agências, ativar um alerta de fraude e obter um Identity Protection PIN do IRS. Não forneça códigos de uso único ou senhas em ligações suspeitas.