1. Yahoo
- Ano: 2013-2016
- Número de registros afetados: Mais de 3 bilhões de contas de usuários
- Tipo: Acesso não autorizado
Detalhes da violação
Em 2016, o Yahoo revelou que 3 bilhões de contas de usuários foram comprometidas em uma série de violações de dados entre 2013 e 2014. Um grupo de hackers russos se infiltrou no banco de dados do Yahoo usando portas dos fundos backups roubados e cookies de acesso. Eles conseguiram acessar todos os tipos de informações confidenciais de usuários, incluindo nomes, endereços de e-mail, números de telefone, datas de nascimento, senhas com hash e até mesmo algumas respostas a perguntas de segurança.
O rescaldo
Inicialmente, o Yahoo relatou que cerca de 1 bilhão de contas foram comprometidas. No entanto, depois que a Verizon adquiriu o Yahoo em 2017, foi revelado que cerca de 3 bilhões de contas foram realmente afetadas. O Yahoo não apenas respondeu lentamente, mas também não divulgou um incidente de 2014 para seus usuários, levando a uma multa de US$ 35 milhões e um total de 41 ações coletivas. Isso também afetou o acordo com a Verizon, fazendo com que o preço de venda caísse em US$ 350 milhões, para US$ 4,48 bilhões.
2. Equifax
- Ano: 2017
- Número de registros afetados: Aproximadamente 148 milhões de registros de cidadãos dos EUA e 163 milhões de registros em todo o mundo
- Tipo: Acesso não autorizado
Detalhes da violação
Em 2017, a Equifax, uma das maiores agências de relatórios de crédito, relatou uma violação de dados em massa. Como a empresa lida com dados extremamente sensíveis, os hackers conseguiram muitas informações pessoais, incluindo números de previdência social, datas de nascimento, endereços físicos e, em alguns casos, números de carteira de motorista.
Para acessar isso, os hackers exploraram uma vulnerabilidade em um portal da web de terceiros, o Apache Struts. Apesar da vulnerabilidade ser conhecida e corrigida, a Equifax falhou em atualizar seus servidores internos, permitindo que os intrusos permanecessem sem serem detectados por 76 dias.
Uma vez dentro do sistema, os hackers podiam facilmente se mover entre os servidores devido à fraca segurança da rede e à rede não ser dividida em seções separadas. A Equifax também deixou seu certificado de Infraestrutura de Chave Pública (PKI) expirar, atrasando a detecção de movimentações incomuns de dados. Além disso, a empresa tinha políticas de permissões frouxas, dando aos usuários amplo acesso a informações confidenciais. Usar o princípio do menor privilégio (dando aos usuários o acesso mínimo de que precisam para fazer seus trabalhos) e verificar os usuários regularmente poderia ter evitado muitos desses problemas.
O rescaldo
A violação, que afetou os dados pessoais de 148 milhões de cidadãos dos EUA, levou a uma indignação generalizada e escrutínio sobre o manuseio de dados do consumidor pela Equifax. O público soube da violação mais de um mês depois que a Equifax a descobriu. Durante esse tempo, os principais executivos venderam suas ações, levando a acusações de negociação com informações privilegiadas.
A Equifax enfrentou vários processos, audiências no Congresso e multas regulatórias. Eles investiram mais de US$ 1,4 bilhão para lidar com os danos e aprimorar suas medidas de proteção de dados. Em 2019, a Equifax fez um acordo com a Federal Trade Commission (FTC) e outras autoridades por US$ 575 milhões.
Este incidente mostrou que as organizações financeiras devem priorizar prevenção de violação de dados estratégias, como implementar criptografia robusta e realizar auditorias de segurança regulares, para proteger informações confidenciais de acesso não autorizado.
3. Facebook
- Ano: 2019
- Número de registros afetados: Aproximadamente 533 milhões de usuários em todo o mundo
- Tipo: Acesso não autorizado e extração de dados
Detalhes da violação
Em 2019, um pesquisador de segurança da GDI Foundation descobriu um servidor desprotegido contendo um banco de dados com informações sobre mais de 530 milhões de usuários do Facebook. Esse banco de dados, acessível a qualquer pessoa, incluía números de telefone e IDs do Facebook, localizações, endereços de e-mail e outros detalhes do perfil do usuário, facilitando a localização dos nomes dos usuários e outros dados pessoais. Em abril de 2021, esses dados foram postados gratuitamente online em um fórum de hackers.
Embora o dono do servidor não tenha sido identificado, o banco de dados foi rapidamente retirado do ar após sua descoberta. O Facebook sugeriu que os dados podem ter sido raspados antes de eles desabilitarem o recurso que permitia que os usuários pesquisassem outras pessoas por meio de números de telefone.
O rescaldo
O Facebook optou por não notificar os mais de 530 milhões de usuários afetados cujos dados foram comprometidos antes de agosto de 2019. O incidente causou preocupação generalizada e críticas às práticas de proteção de dados do Facebook.
4. Primeira Corporação Financeira Americana
- Ano: 2019
- Número de registros afetados: Aproximadamente 885 milhões de registros
- Tipo: Acesso não autorizado
Detalhes da violação
Em maio de 2019, a First American Financial Corporation, uma importante seguradora de títulos imobiliários, sofreu um vazamento significativo de dados devido a medidas de segurança precárias e design de site defeituoso.
Este incidente foi categorizado como um Vazamento de informações porque, diferentemente de uma violação de dados típica, não envolveu hacking. Em vez disso, uma falha de design conhecida como Insecure Direct Object Reference (IDOR) permitiu acesso irrestrito a informações privadas sem verificação ou autenticação. Como resultado, qualquer pessoa com um link para os documentos poderia visualizá-los, e os usuários poderiam facilmente alterar o número na URL para acessar os dados de outros clientes.
Os registros expostos, que datam de 2003, incluíam documentos confidenciais, como detalhes de contas bancárias, extratos bancários, documentos de pagamento de hipotecas, recibos de transferência eletrônica com números de Previdência Social e até carteiras de motorista.
O rescaldo
A exposição levantou preocupações sobre a segurança das transações imobiliárias on-line e levou a investigações regulatórias. O Departamento de Serviços Financeiros do Estado de Nova York (DFS) multou a empresa em aproximadamente US$ 1 milhão por violar leis de segurança cibernética e ignorar sinais de alerta. A violação também levou a processos judiciais de indivíduos afetados alegando negligência e falha em proteger dados confidenciais de clientes.
5. Aadhaar
- Ano: 2018
- Número de registros afetados: 1,1 bilhão de cidadãos indianos
- Tipo: Vazamento de dados e problemas de segurança
Detalhes da violação
Em janeiro de 2018, foi revelado que agentes maliciosos haviam se infiltrado no Aadhaar, o maior sistema de identificação biométrica do mundo. Essa violação expôs as informações pessoais e biométricas de mais de 1,1 bilhão de cidadãos indianos. Os dados comprometidos incluíam nomes, endereços, fotos, números de telefone, e-mails e dados biométricos confidenciais, como impressões digitais e escaneamentos de íris (um tipo de escaneamento ocular).
A violação aconteceu por meio do site da Indane, uma empresa estatal de serviços públicos. A interface de programação de aplicativos (API) do site, que não tinha controles de acesso adequados, estava conectada ao banco de dados Aadhaar. Os hackers exploraram essa vulnerabilidade e venderam acesso aos dados por apenas US$ 7 por meio de um grupo do WhatsApp. Apesar dos avisos de pesquisadores de segurança e grupos de tecnologia, as autoridades indianas levaram até março de 2018 para proteger o ponto de acesso vulnerável.
O rescaldo
Este incidente gerou debates intensos sobre leis de proteção de dados, com usuários pedindo regulamentações mais rígidas e melhores medidas de segurança cibernética para proteger informações biométricas confidenciais.
6. Meu Espaço
- Ano: 2013
- Número de registros afetados: 360 milhões de contas
- Tipo: Acesso não autorizado
Detalhes da violação
Em junho de 2013, um hacker acessou mais de 360 milhões de contas de usuários no MySpace. Embora o site tenha mudado seu foco para promoção de música e bandas, ele ainda atraiu milhões de visitantes. Os dados roubados, que incluíam nomes de usuários do site, endereços de e-mail e datas de nascimento, foram postados para venda na dark web em 2016.
Antes de 2013, o MySpace usava um algoritmo hash seguro (SHA-1) para criptografar senhas de usuários — um método que converte senhas em uma sequência de caracteres de comprimento fixo. Por causa do comprimento fixo, as senhas eram fáceis de quebrar. Em contraste, os protocolos modernos de autenticação de senha usam um algoritmo hash salgado, que adiciona uma sequência aleatória de caracteres ao final de cada criptografia para maior segurança.
O rescaldo
Embora o MySpace não fosse mais a potência que já foi, a violação afetou aproximadamente 360 milhões de contas, causando preocupação significativa entre os usuários. Os dados roubados vazaram para o LeakedSource.com e foram vendidos na dark web por seis bitcoins (cerca de US$ 3.000 na época).
Felizmente, o MySpace confirmou que todos os dados roubados eram de antes de 2013, quando a empresa atualizou suas medidas de segurança. O MySpace invalidou todas as senhas roubadas e notificou os usuários afetados sobre a violação, solicitando que eles redefinam suas senhas quando retornassem ao site.
7. LinkedIn
- Ano: 2021
- Número de registros afetados: 700 milhões de usuários
- Tipo: Raspagem de dados
Detalhes da violação
Em abril de 2021, hackers realizaram uma coleta massiva de dados do LinkedIn, expondo informações sobre mais de 700 milhões de usuários — mais de 93% da base de usuários do LinkedIn na época. Embora a maioria dos dados coletados estivesse disponível publicamente, o ato violou os termos de serviço do LinkedIn porque envolveu a exploração da API do site. Os dados expostos incluíam nomes completos, números de telefone, endereços de e-mail, nomes de usuários, registros de geolocalização, gêneros e detalhes de contas de mídia social vinculadas.
O hacker, conhecido como “God User”, inicialmente divulgou um conjunto de dados de 500 milhões de usuários e depois afirmou ter um total de 700 milhões de registros para venda. Essas informações foram publicadas em um fórum da dark web em junho de 2021.
O LinkedIn alegou que nenhum dado pessoal sensível e privado foi exposto e categorizou o incidente como uma violação dos termos de serviço em vez de uma violação. No entanto, o vazamento de dados apresentou riscos significativos de segurança e privacidade.
O rescaldo
Após o vazamento, hackers menores tentaram vender dados do LinkedIn em fóruns públicos, com um usuário oferecendo as informações por US$ 7.000 em Bitcoin. O National Cyber Security Centre (NCSC) do Reino Unido alertou os usuários do LinkedIn de que os dados detalhados do usuário poderiam levar a ataques convincentes de engenharia social.
8. Redes de busca de amigos
- Ano: 2016
- Número de registros afetados: Aproximadamente 412 milhões
- Tipo: Acesso não autorizado
Detalhes da violação
Em novembro de 2016, a FriendFinder Networks, uma popular empresa de entretenimento adulto, sofreu uma violação de dados massiva. O incidente afetou seis de seus principais bancos de dados, incluindo as subsidiárias AdultFriendFinder e Penthouse.
A violação, que abrangeu mais de 20 anos de dados, expôs informações confidenciais de aproximadamente 412 milhões de contas. Dessas contas, 15 milhões foram excluídas, mas não removidas dos bancos de dados. Os dados comprometidos incluíam nomes de usuários, endereços de e-mail (incluindo aqueles de domínios governamentais e militares), atividade e transações do usuário, detalhes de associação, endereços IP e informações do navegador.
O rescaldo
Em resposta à violação, a FriendFinder Networks implementou medidas de segurança mais fortes. A empresa também notificou os usuários afetados para alterar suas senhas e revisar suas práticas de segurança online.
Essa violação ocorreu após um incidente semelhante em maio de 2015, que comprometeu outros 3,5 milhões de usuários. Apesar dessas violações, o AdultFriendFinder continuou a atrair mais de 50 milhões de visitantes por mês no mundo todo.
9. JPMorgan Chase
- Ano: 2014
- Número de registros afetados: Aproximadamente 76 milhões de famílias e 7 milhões de pequenas empresas
- Tipo: Acesso não autorizado
Detalhes da violação
Em junho de 2014, o JPMorgan Chase, uma das maiores instituições financeiras dos EUA, sofreu uma violação de dados significativa. Os ciberataques comprometeram contas pertencentes a mais de 76 milhões de famílias e 7 milhões de pequenas empresas.[196
Inicialmente acreditava-se que havia afetado apenas 1 milhão de contas, mas a violação foi posteriormente descoberta como sendo muito mais extensa, durando de junho a julho de 2014. Os hackers obtiveram acesso a informações confidenciais de clientes, incluindo nomes, endereços, números de telefone e endereços de e-mail. Felizmente, eles não acessaram nenhum dado financeiro.
Investigações posteriores revelaram que os hackers violaram os servidores do JPMorgan roubando a identidade de um funcionário do banco, resultando no roubo de gigabytes de dados confidenciais. O FBI vinculou a violação a um ataque russo. Os hackers tinham como objetivo desenvolver um esquema de ações de “pump and dump” como parte de uma operação criminosa maior. A operação também envolveu hackear outros bancos, administrar um cassino online, lavar dinheiro globalmente e administrar uma operação ilegal de câmbio de Bitcoin.
O rescaldo
Embora nenhuma informação financeira tenha sido acessada, a exposição de informações pessoais levantou sérias preocupações sobre a proteção de dados. Em resposta à violação, os executivos do JPMorgan Chase prometeram investir US$ 250 milhões anualmente para melhorar suas medidas de segurança de dados. O incidente também destacou a necessidade de instituições financeiras impulsionarem suas medidas de segurança cibernética para manter os dados dos clientes seguros.
Em novembro de 2015, três pessoas envolvidas no hacking foram acusadas, revelando a rede criminosa por trás do ataque.
10. Home Depot
- Ano: 2014
- Número de registros afetados: Aproximadamente 56 milhões de números de cartão de crédito e débito
- Tipo: Ataque de malware em ponto de venda (POS)
Detalhes da violação
Em abril de 2014, a Home Depot, a popular loja de artigos para reforma residencial, sofreu uma violação de dados significativa que afetou seus terminais de autoatendimento. Os criminosos cibernéticos usaram malware personalizado para se infiltrar nos sistemas POS da empresa, roubando mais de 56 milhões de registros de cartões de pagamento e 53 milhões de endereços de e-mail. O malware permaneceu sem ser detectado por cinco meses, comprometendo milhões de clientes nos EUA e Canadá.
As investigações revelaram que os hackers provavelmente acessaram os servidores da Home Depot por meio de um fornecedor terceirizado. Uma vez lá dentro, eles instalaram o malware nos sistemas POS, permitindo que eles coletassem e carregassem dados de cartão de pagamento para um servidor separado. Essa violação revelou as vulnerabilidades nos sistemas de pagamento de varejo e o potencial para roubo de dados por meio de ataques de malware POS.
O rescaldo
O incidente resultou em vários processos e investigações regulatórias, levando a Home Depot a melhorar sua infraestrutura de segurança cibernética. Em 2016, a empresa concordou em pagar pelo menos US$ 19,5 milhões aos clientes afetados e se comprometeu a melhorar a segurança dos dados em um período de dois anos. Em 2020, a Home Depot havia incorrido em aproximadamente US$ 180 milhões em danos, incluindo pagamentos a empresas de cartão de crédito e bancos, acordos judiciais e pagamentos de clientes.
11. Alvo
- Ano: 2013
- Número de registros afetados: Aproximadamente 41 milhões de registros de cartões de pagamento e 70 milhões de registros de clientes
- Tipo: Ataque de malware em ponto de venda (POS)
Detalhes da violação
Em 2013, a Target sofreu uma violação de dados durante a temporada de compras de fim de ano. Os criminosos exploraram vulnerabilidades de segurança cibernética na rede da Target, principalmente por meio de um portal de fornecedores terceirizados, para instalar malware nos sistemas POS da empresa. Essa violação permitiu que os hackers roubassem mais de 41 milhões de números de cartão de crédito e débito, juntamente com nomes de clientes, datas de expiração e códigos CVV. Além disso, informações pessoais de 70 milhões de registros de clientes foram comprometidas.
O rescaldo
A violação de dados da Target teve consequências sérias, incluindo perdas financeiras, repercussões legais e danos à sua reputação. Em 2015, a Target anunciou que pagaria US$ 10 milhões aos clientes afetados pela violação. As perdas totais da empresa chegaram a cerca de US$ 202 milhões (US$ 292 milhões antes do seguro), que cobriram acordos, ações judiciais e pagamentos a bancos e empresas de cartão de crédito.
Em resposta à violação, a Target atualizou suas medidas de segurança cibernética e políticas de segurança da informação. Eles começaram a monitorar a atividade do sistema mais de perto, melhoraram o firewall, colocaram sistemas POS na lista de permissões, restringiram o acesso de funcionários e terceiros e segmentaram a rede para evitar a propagação de malware.
12. eBay
- Ano: 2014
- Número de registros afetados: Aproximadamente 145 milhões de usuários
- Tipo: Acesso não autorizado
Detalhes da violação
Em março de 2014, o eBay, o varejista global e site de leilões, sofreu uma violação de dados significativa. Os criminosos cibernéticos acessaram a rede principal comprometendo as credenciais de alguns funcionários do eBay e recuperaram informações confidenciais de cerca de 145 milhões de usuários. Essas informações incluíam nomes completos, senhas criptografadas, endereços residenciais, endereços de e-mail, números de telefone e datas de nascimento. Felizmente, as informações financeiras foram armazenadas em servidores separados e permaneceram inalteradas.
O rescaldo
A violação foi descoberta e divulgada em maio de 2014. Como precaução, o eBay aconselhou todos os seus usuários a alterarem suas senhas para evitar mais acesso não autorizado. A empresa também implementou protocolos de segurança mais rigorosos para evitar incidentes semelhantes.
Apesar de nenhuma informação financeira ter sido roubada, o incidente aumentou a conscientização sobre os riscos mais amplos de violações de dados, particularmente os perigos da reutilização de senhas.
13. Sistemas de pagamento Heartland
- Ano: 2008-2009
- Número de registros afetados: Mais de 130 milhões de detalhes de cartão de pagamento
- Tipo: Violação de dados de cartão de pagamento
Detalhes da violação
Em maio de 2008, a Heartland Payment Systems, uma empresa de processamento de pagamentos, sofreu uma violação de dados significativa. A empresa processa cerca de 100 milhões de transações de cartão de crédito e débito por mês para 175.000 comerciantes. Hackers se infiltraram no sistema de processamento de pagamentos da Heartland por meio de um ataque de injeção de SQL iniciado em 2007. A infiltração permitiu que eles modificassem o código da web e obtivessem acesso às credenciais de login do cliente. Como resultado, mais de 130 milhões de detalhes de cartão de pagamento foram comprometidos, tornando-se uma das maiores violações de dados da época.
A Heartland não detectou a atividade ilegal até outubro de 2008, quando a Visa e a MasterCard relataram transações suspeitas. Uma investigação revelou que os invasores se moveram pelos sistemas da Heartland sem serem notados por meses, criando cartões de crédito falsos com tarjas magnéticas reais. A violação foi tornada pública em janeiro de 2009.
O rescaldo
A Heartland pagou mais de US$ 110 milhões a empresas de cartão de crédito para resolver reivindicações relacionadas à violação. A empresa sofreu perdas totais superiores a US$ 200 milhões, que incluíram indenização às instituições financeiras e titulares de cartão afetados.
A violação levou a um escrutínio regulatório significativo e a vários processos judiciais de partes afetadas. Poucos meses após o incidente, os preços das ações da Heartland sofreram uma queda significativa. Em 2015, a Heartland foi adquirida pela Global Payments, uma processadora de pagamentos maior, por US$ 4,3 bilhões.
14. Dubsmash
- Ano: 2018
- Número de registros afetados: 162 milhões de contas de usuários
- Tipo: Acesso não autorizado
Detalhes da violação
Em dezembro de 2018, o Dubsmash, um aplicativo popular de compartilhamento de vídeos na época, sofreu uma grande violação de dados. Hackers se infiltraram no banco de dados do aplicativo e roubaram 162 milhões de registros de usuários, incluindo nomes de usuários, endereços de e-mail, senhas com hash, geolocalizações e informações de países. Essa violação foi parte de um ataque cibernético maior que comprometeu mais de 617 milhões de contas em 16 sites diferentes.
O rescaldo
Os dados roubados foram posteriormente colocados à venda no mercado dark web Dream Market em dezembro de 2019. O Dubsmash reconheceu a violação e aconselhou os usuários a alterarem suas senhas, mas não revelou o método específico do ataque ou o número exato de usuários afetados.
Este incidente também aumentou a conscientização sobre a questão mais ampla de violações de dados que afetam várias empresas, incluindo Under Armour/MyFitnessPal (151 milhões de contas), MyHeritage (92 milhões), Whitepages (18 milhões), Armor Games (11 milhões) e Coffee Meets Bagel (6 milhões). O impacto coletivo dessas violações enfatizou a necessidade de medidas mais fortes de segurança de dados para proteger as informações do usuário em todas as plataformas digitais.
15. Marriott Internacional
- Ano: 2014-2018
- Número de registros afetados: Aproximadamente 383 milhões de registros de hóspedes
- Tipo: Acesso não autorizado
Detalhes da violação
Em 2018, a Marriott International relatou uma violação de dados massiva envolvendo seu banco de dados de reservas Starwood Preferred Guest. A violação, que ocorreu de 2014 a 2018, comprometeu aproximadamente 383 milhões de registros de hóspedes. Informações pessoais confidenciais foram expostas, incluindo nomes, endereços, números de telefone, endereços de e-mail, números de passaporte, informações da conta Starwood Preferred Guest (SPG), datas de nascimento, sexo, detalhes da reserva e detalhes do cartão de pagamento.
O rescaldo
Em resposta à violação, a Marriott contratou especialistas em segurança e conduziu uma investigação extensa. A investigação revelou a falha da empresa em atualizar o antigo sistema de reservas da Starwood após adquirir a Starwood em 2016. O sistema desatualizado é o que tornou a empresa altamente vulnerável a malware e violações de dados.
A Marriott foi multada em £ 18,4 milhões pelo Information Commissioner’s Office (ICO) do Reino Unido em 2020 por não proteger os dados pessoais dos clientes. Além disso, o New York Times atribuiu o ataque a um grupo de inteligência chinês que buscava coletar dados sobre cidadãos dos EUA.
16. Adobe
- Ano: 2013
- Número de registros afetados: Aproximadamente 153 milhões de registros de usuários
- Tipo: Acesso não autorizado
Detalhes da violação
Em outubro de 2013, a Adobe sofreu uma violação de dados que comprometeu aproximadamente 153 milhões de registros de usuários. Hackers obtiveram acesso não autorizado a detalhes confidenciais, incluindo IDs de usuários da Adobe, senhas, nomes completos, informações de cartão de crédito e débito. Os invasores também conseguiram roubar códigos-fonte de produtos para aplicativos como Acrobat e ColdFusion. A princípio, a empresa pensou que a violação afetou cerca de 3 milhões de usuários, mas depois confirmou que impactou um número muito maior.
O rescaldo
Após a violação, a Adobe enfrentou críticas por usar uma única chave de criptografia de senha para todos os usuários afetados, o que expôs deficiências em suas estratégias de proteção de dados. A transição da venda de licenças de desktop para um modelo de Software como Serviço (SaaS) baseado em nuvem deixou a infraestrutura da Adobe vulnerável, contribuindo para a gravidade da violação. Em 2016, a Adobe resolveu um processo com 15 estados por US$ 1 milhão, abordando reivindicações relacionadas ao comprometimento de dados de clientes e práticas comerciais desleais.
Essa violação serviu como uma lição importante e destacou a necessidade de todos os serviços de nuvem se concentrarem em uma forte segurança cibernética para proteger as informações dos usuários contra ameaças cibernéticas avançadas.
17. Capital Um
- Ano: 2019
- Número de registros afetados: Aproximadamente 100 milhões de registros de usuários
- Tipo: Acesso não autorizado
Detalhes da violação
Em julho de 2019, a Capital One foi vítima de uma violação de dados significativa orquestrada por Paige Thompson, uma ex-funcionária da Amazon Web Services (AWS). Explorando um firewall mal configurado na infraestrutura de nuvem da Capital One, Thompson acessou e extraiu informações pessoais confidenciais de mais de 100 milhões de contas de clientes e aplicativos de cartão de crédito que datam de 2005. Os dados comprometidos incluíam nomes, endereços físicos, pontuações de crédito, saldos de contas, números de previdência social e números de seguro social canadense.
O rescaldo
A Capital One respondeu rapidamente, fortalecendo suas medidas de segurança e oferecendo aos indivíduos afetados serviços de monitoramento de crédito e proteção contra roubo de identidade. Apesar da violação, a Capital One garantiu que e o público informou que menos de 1% dos números da Previdência Social foram comprometidos, além de nenhum número de conta de cartão de crédito ou credenciais de login.
A capacidade de Thompson de explorar uma configuração incorreta de firewall destacou lacunas nas práticas de segurança cibernética da Capital One. A empresa enfrentou escrutínio regulatório e ações legais, tendo que resolver uma ação coletiva por US$ 190 milhões em 2021. O incidente também levou a um novo foco no aprimoramento de protocolos de segurança em instituições financeiras.
18. Mãe de todas as violações (MOAB)
- Ano: Descoberto em 2024
- Número de registros afetados: 26 bilhões de registros de dados do usuário
- Tipo: Agregação massiva de dados
Detalhes da violação
Em janeiro de 2024, o pesquisador de segurança Bob Diachenko da Security Discovery descobriu um vazamento massivo de dados apelidado de “Mother of All Breaches” (MOAB). Este incidente é considerado o maior vazamento de dados da história e um dos mais recentes até o momento. Envolveu uma coleta massiva de 12 TB de dados de usuários, totalizando 26 bilhões de dados de 3.876 sites diferentes.
Os dados incluíam informações confidenciais de diversas plataformas de alto perfil, como Tencent QQ (1,4 bilhão de registros), Weibo (504 milhões de registros), MySpace (360 milhões de registros), Twitter (281 milhões de registros), LinkedIn (251 milhões de registros), Adobe (153 milhões de registros) e muitas outras.
O conjunto de dados consistia em uma mistura de dados antigos, duplicados e potencialmente novos de violações anteriores, vazamentos reindexados e bancos de dados vendidos privadamente. Ele foi armazenado pelo mecanismo de busca de violação de dados Leak-Lookup e se tornou acessível devido a uma configuração incorreta do firewall.
O rescaldo
Embora não haja atualmente nenhuma prova direta de que os dados roubados foram mal utilizados, a violação expôs dados pessoais sensíveis, como nomes de usuários, senhas, endereços de e-mail, endereços IP e registros de pagamento. Essa extensa coleção de dados comprometidos apresenta riscos significativos de roubo de identidade, tentativas sofisticadas de phishing e ataques cibernéticos direcionados. Organizações e indivíduos afetados pela violação do MOAB foram aconselhados a aprimorar suas práticas de segurança, incluindo atualizações frequentes de senhas, monitoramento de atividades suspeitas e uso de autenticação multifator.
O incidente MOAB mostra a necessidade urgente de medidas robustas de segurança cibernética para combater a crescente ameaça de cibercrime. À medida que a investigação continua, continua sendo crucial para as empresas garantir que seus protocolos de proteção de dados sejam rigorosos o suficiente para evitar tais exposições massivas de dados no futuro. A parte responsável não foi identificada, mas a escala e o escopo do MOAB destacam a necessidade urgente de protocolos de segurança cibernética mais fortes.
19. Serviço de informações avançadas
- Ano: 2020
- Número de registros afetados: Aproximadamente 8,3 bilhões de registros
- Tipo: Exposição de banco de dados não seguro
Detalhes da violação
Em maio de 2020, a Advanced Info Service (AIS), a maior operadora de telefonia móvel da Tailândia, enfrentou uma falha de segurança significativa. Pesquisadores descobriram que um dos bancos de dados da AIS havia sido deixado desprotegido, expondo aproximadamente 4 TB de dados (um total de 8,3 bilhões de registros). Embora não incluísse detalhes pessoais, como nomes ou números de telefone, o banco de dados continha informações revelando os sites visitados e os aplicativos usados pelos usuários.
O rescaldo
Essa exposição de dados levou a AIS a resolver o problema rapidamente. A empresa protegeu o banco de dados exposto e conduziu uma investigação completa sobre o incidente.
20. CAM4
- Ano: 2020
- Número de registros afetados: Aproximadamente 10 bilhões de registros
- Tipo: Exposição de banco de dados não seguro
Detalhes da violação
Em março de 2020, a CAM4, uma plataforma de streaming adulto, sofreu a maior violação de dados de sua história quando pesquisadores descobriram um banco de dados desprotegido. Uma configuração incorreta do servidor de produção expôs enormes 7 TB de dados, totalizando aproximadamente 10,88 bilhões de registros. Os dados comprometidos incluíam informações confidenciais, como nomes completos, endereços de e-mail, logs de pagamento, endereços IP, preferências sexuais, transcrições de bate-papo e senhas com hash.
O rescaldo
Embora o CAM4 tenha declarado não haver evidências de exploração maliciosa antes de proteger o banco de dados, a violação expôs milhões de usuários em todo o mundo, potencialmente sujeitando-os a futuros riscos de privacidade e tentativas de phishing
