No início de fevereiro de 2018, um membro não identificado publicou na plataforma GitHub o código-fonte iBoot, sistema responsável pelos downloads confiáveis do iOS, o sistema mobile do iPhone, da Apple. A divulgação dos dados facilitou o trabalho de hackers na construção de malwares capazes de invadir o sistema operacional dos dispositivos Apple, neste que é considerado por muitos especialistas em segurança digital como o maior vazamento da história da empresa norte-americana. Até o momento, a investigação aponta que o roubo foi cometido por um estagiário membro da equipa da Apple em 2016, repassando o código para mais cinco amigos logo em seguida. Inicialmente, eles não tinham a intenção de divulgar o código ou usá-lo contra a Apple. No entanto, a situação ficou fora de controle: os dados foram publicados no GitHub e se espalhou por quase todos os fóruns sobre tecnologia móvel do mundo. Vale ressaltar que o código vazado pode ser usado na 11ª versão do iOS. Para você ter uma ideia, a Apple costuma pagar até 200 mil dólares para hackers que encontrem falhas em seus sistemas de inicialização, visando garantir a segurança dos usuários. Recentemente, a Apple exigiu a remoção dos materiais publicados na GitHub, citando a violação da “Lei de direitos autorais na era digital”. Este é só um dos vários exemplos que vazamento de dados que aconteceu nos últimos meses, como o já bastante falado caso do vazamento de dados pessoais dos usuários do Facebook. No ar, uma pergunta: se as bilionárias Apple e Facebook não foram capazes de garantir a segurança de seus principais serviços e produtos, quem garante que as nossas informações pessoais compartilhadas com diversos sites, aplicativos e sistemas de internet estão mesmo seguras? “As ações do agente interno, deliberadas ou espontâneas, implicam não só em prejuízos financeiros, mas também em perdas de reputação à empresa, por isso é necessário proteger o negócio contra tais ameaças. Nos dias de hoje, apenas um conjunto de soluções permitirá garantir a proteção efetiva das informações confidenciais: DLP + Forensic Suite”, observa Vladimir Prestes, chefe do escritório de representação SearchInform no Brasil. Abaixo você confere uma pequena lista de vazamentos realizados no mês de fevereiro deste ano, segundo a SearchInform: 1) Vazamento de dados do armazenamento em nuvem do Amazon Web Services S3: exposição de dados de personalidades da mídia A empresa de marketing Octoly, com sede em Paris, permitiu o vazamento de dados de 12 mil blogueiros. Devido a uma configuração incorreta do armazenamento em nuvem pertencente à organização, prejudicando personalidades nas mídias Instagram, Twitter e YouTube. Pessoas que promoviam marcas de cosméticos e jogos de empresas como Dior, Estée Lauder, Lancôme e Blizzard Entertainment. De acordo com a empresa UpGuard, o armazenamento em nuvem Amazon Web Services S3 no subdomínio “octoly” foi identificado em 4 de janeiro de 2018. Um dos arquivos se tratava de um backup do banco de dados “octoly_production.sql”, contendo todas as informações sobre operações de marketing na Europa e América do Norte. O backup SQL foi removido do armazenamento em 12 de janeiro de 2018, mas planilhas atualizadas regularmente com dados pessoais permaneceram abertas até 1º de fevereiro de 2018. O incidente ocorrido comprometeu três tipos de dados: – dados pessoais dos blogueiros: nomes, endereços, números de telefone, endereços de e-mail e datas de aniversário dos blogueiros, conectados aos logins do YouTube e Instagram ou usados para contas do PayPal. – informações analíticas, cuja divulgação poderia prejudicar as operações comerciais da Octoly. – dados das empresas-clientes: Dior, Estée Lauder, Lancôme, L’Oreal e Pierre Fabre, Beauty Solutions, Ltd. e Birchbox. Os especialistas UpGuard acreditam que, de acordo com a escala de risco cibernético, o vazamento de dados da Octoly marcou 760 pontos de um total de 950 pontos. 2) Vazamento na Swisscom: dados pessoais de 10% da população da Suíça A operadora de telefonia móvel Swisscom reconheceu que no final do ano passado, os dados pessoais de um em cada dez residentes na Suíça estavam comprometidos. Em 7 de fevereiro de 2018, a empresa afirmou que os nomes, endereços, números de telefone e datas de nascimento de cerca de 800.000 clientes foram obtidos por uma terceira pessoa através de um parceiro da Swisscom, que estava envolvido na promoção dos serviços da operadora entre clientes já existentes. O incidente foi identificado durante uma verificação regular. A Swisscom enfatiza que seu sistema não foi comprometido. A empresa também informou sobre uma série de mudanças para o melhoramento da segurança da informação: enrijecimento do controle de acesso, cancelamento de pedidos de informações sobre clientes em grande volume solicitados em uma única vez e introdução de autenticação com dois fatores para o acesso de parceiros aos seus dados. 3) Roubo de informações sobre colegas por meios já bem conhecidos Em 15 de fevereiro de 2018, o Departamento de proteção da pesca e da vida selvagem da Califórnia (California Department of Fish and Wildlife) enviou uma mensagem aos seus funcionários sobre o desvio de dados pessoais da organização. O incidente foi anunciado em 22 de dezembro de 2017. Um ex-funcionário do departamento baixou os dados pessoais de seus colegas e terceirizados que trabalhavam para o departamento sob contrato, para um dispositivo de armazenamento de arquivos portátil pessoal, trazendo-os para fora do perímetro da rede da organização. Foram roubados, tanto os dados de funcionários do departamento que trabalharam em 2007, 2.300 pessoas, bem como informações pessoais de terceiros contratados que assinaram com o departamento entre 2007 e 2010. A investigação do incidente está sendo conduzida pela California Highway Patrol (CHP). 4) Mensageiro instantâneo como instrumento de vazamento O vazamento de informações do banco de dados Service and Payroll Repository of Kerala (SPARK), contendo dados pessoais de funcionários públicos e pensionistas da Índia, resultou de uma violação do acesso ao subsistema Supplyco Employee Information and Payroll System (SEIPS). Este subsistema contém registros de funcionários, premiações, relatórios de crédito e outros dados pessoais. A informação sobre o salário de um dos empregados foi compartilhado através do aplicativo WhatsApp, na mensagem havia a comparação dos salários dos funcionários do Departamento de Alimentos da Índia e da empresa Civil Supplies Corporation. O problema foi identificado depois que um assistente de gerência associado ao escritório de fornecimento da cidade de Coulão, apresentou uma reclamação à administração, alegando que informações sobre seu salário foram compartilhadas em um grupo do WhatsApp.