O ciberataque à Ticketmaster Centenas de milhões de dados de clientes roubados

Um dos ataques cibernéticos mais significativos do ano pode estar em curso. Na sexta-feira, 31 de maio de 2024, a Live Nation, empresa por trás da Ticketmaster, confirmou uma violação de dados depois de cibercriminosos alegarem estar a vender meio bilhão de registos de clientes online. O Santander, o gigante bancário, também informou que milhões de dados de clientes e funcionários tinham sido comprometidos pelo mesmo grupo de hackers. Os detalhes exatos dessas violações, incluindo quais informações foram roubadas e como, permanecem incertos. Os incidentes parecem estar ligados a ataques direcionados a contas corporativas hospedadas pelo Snowflake, um provedor de nuvem dos EUA cujos clientes incluem Adobe, Canva e Mastercard, que armazenam e analisam grandes quantidades de dados lá. Especialistas em segurança acreditam que outras empresas poderão em breve revelar violações semelhantes. Atualmente, a situação continua complexa e confusa. “A Snowflake observou recentemente e está a investigar um aumento na atividade de ameaças cibernéticas visando algumas das contas dos nossos clientes”, escreveu Brad Jones, Chief Information Security Officer da Snowflake, num post no blogue na sexta-feira.

Os primeiros sinais destas violações surgiram a 27 de maio, quando uma conta no fórum cibercriminoso “Exploit” anunciou a venda de 1,3 TB de dados da Ticketmaster, contendo informações sobre mais de 560 milhões de pessoas. O hacker estava a pedir 500 000 dólares para esta base de dados. O grupo ShinyHunters, conhecido pelo roubo de dados desde 2020, publicou então o mesmo anúncio no BreachForums, um fórum recentemente relançado depois de ter sido encerrado pelo FBI. Em 30 de maio, o ShinyHunters afirmou ter vendido dados de 30 milhões de clientes e funcionários do Santander por 2 milhões de dólares. Estes anúncios reacenderam o interesse no mercado ilegal. Ambos os hacks foram ligados ao Snowflake pela empresa de segurança israelita Hudson Rock, que publicou e depois apagou conversas com o hacker alegando ter acedido aos sistemas Snowflake e tentou revender os dados por 20 milhões de dólares. Hudson Rock sugeriu que um funcionário da Snowflake poderia ter sido infectado por malware que rouba informações. Charles Carmakal da Mandiant, uma empresa de segurança detida pela Google, também indicou que pode estar envolvido malware de roubo de informações. A Ticketmaster confirmou que a sua base de dados roubada estava alojada no Snowflake num arquivamento junto da SEC. O Santander tinha anteriormente mencionado o acesso não autorizado a uma base de dados “alojada por um fornecedor terceiro”, sem nomear o fornecedor. As autoridades estão a alertar para o potencial impacto destes ataques. O Australian Cyber Security Centre emitiu um alerta “alto”, destacando os compromissos de várias empresas que utilizam ambientes Snowflake. Aconselha a redefinição das credenciais da conta, a activação da autenticação multifactor e a monitorização da actividade do utilizador. “Parece que o Snowflake sofreu um compromisso de segurança bastante significativo”, disse o investigador de segurança Troy Hunt do conhecido site de notificação de violação de dados “Have I Been Pwned” numa entrevista à WIRED.

A empresa de segurança Mitiga revelou que um ator de ameaças está a usar uma ferramenta de ataque chamada “rapeflake” contra bases de dados Snowflake. Roei Sherman, CTO de Campo da Mitiga, indica que pouco se sabe sobre esta ferramenta, mas o ataque poderá ter repercussões mais amplas no futuro. Várias empresas afetadas procuraram ajuda da Mitiga, e a Mandiant tem ajudado alguns dos clientes da Snowflake. Ele explica: “Ainda não vimos toda a extensão das consequências”, “A Snowflake tem milhares de clientes, e alguns dos seus clientes são grandes empresas. Esperamos aprender mais sobre outras empresas comprometidas.”