Principais conclusões
- Uma violação de dados ocorre quando informações sensíveis ou confidenciais são acedidas ou expostas sem autorização.
- As violações ocorrem através de vulnerabilidades, injeção de SQL, spyware, phishing e controlos de acesso mal configurados, permitindo que os atacantes roubem dados.
- Os dados roubados incluem frequentemente palavras-passe, informações pessoais e dados financeiros, que os criminosos podem descodificar se for utilizado um algoritmo de hash fraco (como o SHA-1).
- Os dados expostos são normalmente vendidos ou trocados na Dark Web, alimentando esquemas fraudulentos, extorsões e ataques de preenchimento de credenciais.
- Mesmo os dados «antigos» roubados continuam a ter valor, permitindo esquemas de phishing, sextorsão e apropriação de contas quando os utilizadores reutilizam as mesmas palavras-passe.
O que é uma violação de dados?
Uma violação de dados é um incidente que resulta na exposição não autorizada de informações confidenciais, privadas, protegidas ou sensíveis. Estas violações podem ocorrer de forma acidental ou intencional, envolvendo atacantes externos ou internos de uma organização. As informações roubadas podem ser exploradas para ganhos financeiros ou utilizadas em outros ataques, tornando as violações de dados uma ameaça significativa tanto para indivíduos como para empresas.
"Uma violação de dados resulta de um ciberataque que permite que os cibercriminosos obtenham acesso não autorizado a um sistema ou rede informática e roubem os dados pessoais e financeiros privados, sensíveis ou confidenciais dos clientes ou utilizadores que contêm."
Como é que as violações de dados acontecem?
Um exploit é um tipo de ataque que tira partido de bugs ou vulnerabilidades de software, que os cibercriminosos utilizam para obter acesso não autorizado a um sistema e aos seus dados. Estas vulnerabilidades estão escondidas no código do sistema e é uma corrida entre os criminosos e os investigadores de cibersegurança para ver quem as consegue encontrar primeiro.
Por um lado, os criminosos pretendem tirar partido das vulnerabilidades, enquanto, por outro lado, os investigadores pretendem comunicar essas vulnerabilidades aos fabricantes de software para que as falhas possam ser corrigidas. O software mais frequentemente alvo de exploração inclui o próprio sistema operativo, os navegadores da Internet, as aplicações da Adobe e as aplicações do Microsoft Office. Os grupos de cibercriminosos, por vezes, agrupam várias vulnerabilidades em kits de exploração automatizados, o que facilita que criminosos com poucos ou nenhuns conhecimentos técnicos tirem partido dessas vulnerabilidades.
Uma injeção SQL (SQLI)é um tipo de ataque que explora vulnerabilidades no software de gestão de bases de dados SQL de sites não seguros, com o objetivo de fazer com que o site revele informações da base de dados que, na verdade, não deveria divulgar. Eis como funciona. Um cibercriminoso introduz código malicioso no campo de pesquisa de um site de retalho, por exemplo, onde os clientes normalmente pesquisam termos como «auscultadores sem fios mais bem avaliados» ou «ténis mais vendidos».
Em vez de apresentar uma lista de auscultadores ou ténis, o site fornecerá ao hacker lista de clientes e os respetivos números de cartão de crédito. O SQLI é um dos ataques mais simples de executar, exigindo conhecimentos técnicos mínimos.Labs Malwarebytes Labs o SQLI em terceiro lugar na lista das «5 ameaças cibernéticas mais estúpidas que, mesmo assim, funcionam». Os atacantes podem até utilizar programas automatizados para realizar o ataque por si. Basta introduzirem o URL do site alvo e, depois, sentarem-se e relaxarem enquanto o software trata do resto.
O spyware é um tipo de malware que infecta o seu computador ou rede e rouba informações sobre si, a sua utilização da Internet e quaisquer outros dados valiosos a que possa deitar a mão. O spyware pode ser instalado como parte de um download aparentemente benigno (também conhecido como bundleware). Em alternativa, o spyware pode entrar no seu computador como uma infeção secundária através de um Trojan como o Emotet.
Conforme relatado no blogue Malwarebytes Labs , o Emotet, o TrickBot e outros Trojans bancários encontraram uma nova vida como ferramentas de entrega de spyware e outros tipos de malware. Quando o sistema é infetado, o spyware envia todos os dados pessoais para os servidores de comando e controlo (C&C) geridos pelos cibercriminosos.
Os ataques de phishing funcionam levando-nos a partilhar informações confidenciais, como os nossos nomes de utilizador e palavras-passe, muitas vezes contrariando a lógica e o raciocínio normais, recorrendo à engenharia social para manipular as nossas emoções, tais como a ganância e o medo. Um ataque típico de phishing começa com um e-mail falsificado, de forma a parecer que provém de uma empresa com a qual faz negócios ou de um colega de trabalho de confiança. Este e-mail conterá uma linguagem agressiva ou exigente e exigirá algum tipo de ação, como a verificação de pagamentos ou compras que nunca efetuou.
Ao clicar na ligação fornecida, o utilizador será direcionado para uma página de início de sessão maliciosa, concebida para capturar o seu nome de utilizador e palavra-passe. Se não tiver a autenticação multi-fator (MFA) activada, os cibercriminosos terão tudo o que precisam para entrar na sua conta. Embora os e-mails sejam a forma mais comum de ataque de phishing, as mensagens de texto SMS e os sistemas de mensagens das redes sociais também são populares entre os burlões.
Controlos de acesso defeituosos ou mal configurados podem tornar públicas partes privadas de um determinado site, quando não deveriam estar. Por exemplo, o administrador de um site de uma loja online de vestuário definirá como privadas determinadas pastas do back-end do site, ou seja, as pastas que contêm dados confidenciais sobre os clientes e as suas informações de pagamento. No entanto, o administrador do site pode esquecer-se de definir também como privadas as subpastas relacionadas.
Embora estas subpastas possam não ser facilmente visíveis para o utilizador comum, um cibercriminoso que utilize algumas pesquisas bem elaboradas no Google pode encontrar essas pastas mal configuradas e roubar os dados nelas contidos. Tal como um ladrão que entra numa casa através de uma janela aberta, não é necessária muita perícia para realizar este tipo de ataque informático.
Os meus dados roubados são encriptados?
Após uma violação de dados, as empresas afetadas tentam acalmar o medo e a indignação dos seus clientes dizendo algo do tipo: «Sim, os criminosos obtiveram as vossas palavras-passe, mas estas estão encriptadas.» Isto não é muito reconfortante, e eis porquê. Muitas empresas utilizam a forma mais básica possível de encriptação de palavras-passe: o hash SHA1 sem sal.
Hash e salt? Parece uma forma deliciosa de começar o dia. No que diz respeito ao hash de palavras-passe, já não é assim tão bom. Uma palavra-passe submetida a um hash através do SHA1 irá sempre gerar a mesma sequência de caracteres, o que facilita a sua adivinhação. Por exemplo, «password» terá sempre como resultado do hash
"5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8" e "123456" terá sempre o hash "7c4a8d09ca3762af61e59520943dc26494f8941b".
Isto não deveria ser um problema, porque estas são as duas piores palavras-passe possíveis e nunca ninguém as deveria utilizar. Mas as pessoas usam-nas. A lista anual das palavras-passe mais comuns da SplashData mostra que as pessoas não são tão criativas com as suas palavras-passe como deveriam ser. No topo da lista há cinco anos consecutivos: "123456" e "password". Dêem cá mais cinco, pessoal.
Tendo isto em conta, os cibercriminosos podem comparar uma lista de palavras-passe roubadas e com hash com uma lista de palavras-passe com hash já conhecidas. Com as palavras-passe descodificadas e os nomes de utilizador ou endereços de e-mail correspondentes, os cibercriminosos têm tudo o que precisam para invadir a sua conta.
O que acontece quando os seus dados são expostos numa violação de dados
Os dados roubados acabam normalmente na Dark Web. Como o nome indica, a Dark Web é a parte da Internet que a maioria das pessoas nunca vê. A Dark Web não é indexada pelos motores de busca e é necessário um tipo especial de browser chamado Tor Browser para a ver. Então, para que é que serve esta capa e este punhal?
Na sua maioria, os criminosos utilizam a Dark Web para traficar vários bens ilegais. Estes mercados Dark Web assemelham-se muito a um típico site de compras online, mas a familiaridade da experiência do utilizador desmente a natureza ilícita do que é oferecido. Os cibercriminosos estão a comprar e a vender drogas ilegais, armas, pornografia e os seus dados pessoais. Os mercados especializados em grandes lotes de informações pessoais recolhidas a partir de várias violações de dados são conhecidos, em linguagem criminal, como "dump shops".
O maior conjunto conhecido de dados roubados encontrados online, todos os 87 GB, foi descoberto em janeiro de 2019 pelo investigador de cibersegurança Troy Hunt, criador do Have I Been Pwned (HIBP), um site que permite verificar se o seu e-mail foi comprometido numa violação de dados. Os dados, conhecidos como Coleção 1, incluíam 773 milhões de e-mails e 21 milhões de palavras-passe de uma série de violações de dados conhecidas. Cerca de 140 milhões de e-mails e 10 milhões de palavras-passe, no entanto, eram novos para o HIBP, não tendo sido incluídos em qualquer violação de dados anteriormente divulgada.
O autor de cibersegurança e repórter de investigação Brian Krebs descobriu, ao falar com o cibercriminoso responsável pela Coleção 1, que todos os dados contidos na descarga de dados têm, pelo menos, dois a três anos.
Existe algum valor nos dados obsoletos de uma violação antiga (para além dos 0,000002 cêntimos por palavra-passe que a Collection 1 estava a vender)? Sim, bastante.
Os cibercriminosos podem utilizar o seu antigo login para o levar a pensar que a sua conta foi pirateada. Este golpe pode funcionar como parte de um ataque de phishing ou, como noticiámos em 2018, de um esquema de sextortion. Os burlões de sextortion estão agora a enviar e-mails alegando que piratearam a webcam da vítima e a gravaram a ver pornografia. Para dar alguma legitimidade à ameaça, os burlões incluem nos e-mails credenciais de início de sessão de uma antiga violação de dados. Dica profissional: se os burlões tivessem mesmo um vídeo seu, mostravam-no.
Se reutilizar palavras-passe em vários sítios, está a expor-se ao perigo. Os cibercriminosos também podem utilizar o seu login roubado de um site para entrar na sua conta noutro site, num tipo de ciberataque conhecido como credential stuffing. Os criminosos utilizam uma lista de e-mails, nomes de utilizador e palavras-passe obtidos através de uma violação de dados para enviar pedidos de início de sessão automatizados para outros sites populares, num ciclo interminável de pirataria, roubo e mais pirataria.
Quais são as maiores violações de dados?
Existem muitas violações de dados dignas de nota que vale a pena mencionar. Aqui estão alguns exemplos que já abordámos anteriormente no nosso blogue.
A violação de dados da AT&T que afetou 176 milhões de registos
Noticiámos a existência de um conjunto de dados recentemente divulgado, descrito como dados de clientes da AT&T recolhidos ao longo dos anos. Segundo consta, inclui 176 milhões de registos, nomeadamente números de Segurança Social (números completos e os últimos quatro dígitos), nomes completos e moradas, números de telefone e outros dados.
«A mãe de todas as violações»: 26 mil milhões de registos expostos na Internet
Já tínhamos noticiado que investigadores de segurança tinham descoberto milhares de milhões de registos expostos na Internet, referindo-se a este caso como a «mãe de todas as violações». Descobriu-se agora que o conjunto de dados resulta de uma compilação de várias violações.
Violação de segurança com ransomware na Under Armour: quase 192 milhões de registos de clientes apareceram na dark web
Em 2025, a Under Armour foi alvo de uma violação de segurança em grande escala provocada por ransomware, quando o grupo Everest afirmou ter obtido acesso a 343 GB de dados internos e de clientes. Quase 192 milhões de registos — incluindo e-mails, nomes completos, números de telefone e dados de localização — foram posteriormente divulgados online, depois de as exigências de resgate não terem sido satisfeitas.
LinkedInAs falhas de segurança do LinkedIn expuseram os endereços de e-mail e as palavras-passe de quase todos os seus utilizadores
Os cibercriminosos subtraíram endereços de e-mail e palavras-passe encriptadas de 117 milhões LinkedIn na violação de dados de 2012. LinkedIn mais violações desde então. Estima-se que 700 milhões de registos LinkedIn estejam agora expostos. Isto significa que quase todos os utilizadores LinkedInforam afetados.
Legislação sobre violação de dados
Parece que estamos a ler sobre outra violação de dados em cada ciclo de notícias. As violações de dados estão a aumentar em frequência ou há algo mais a acontecer? Uma possível razão para o aumento das violações de dados (pelo menos a aparência de um aumento) é a crescente regulamentação sobre a forma como comunicamos as violações de dados.
Desde o início do milénio, os governos de todo o mundo têm aprovado leis que obrigam as empresas e organizações a divulgar informações após sofrerem uma violação de dados, ao passo que, no passado, as partes afetadas podiam ocultar a existência de uma violação de dados durante o tempo que quisessem.
Nos Estados Unidos, não existe uma lei nacional que supervisione a divulgação de violações de dados. No entanto, a partir de 2018, todos os 50 estados dos EUA têm leis de violação de dados em vigor. Essas leis variam de um estado para outro, mas existem alguns pontos em comum. Nomeadamente, qualquer organização no centro de uma violação de dados tem de tomar as seguintes medidas:
- Informe o mais rapidamente possível as pessoas afectadas pela violação de dados sobre o que aconteceu.
- Informe o governo o mais rapidamente possível, o que normalmente significa notificar o Procurador-Geral do Estado.
- Pagar algum tipo de coima.
A título de exemplo, a Califórnia foi o primeiro estado a regulamentar a divulgação de violações de dados em 2003. As pessoas ou empresas no centro de uma violação de dados devem notificar os afectados "sem demora razoável" e "imediatamente após a descoberta". As vítimas podem processar até $750, enquanto o procurador-geral do estado pode impor coimas até $7.500 por cada vítima.
Foram promulgadas leis semelhantes na União Europeia e em toda a região da Ásia-Pacífico. Facebook a primeira grande empresa tecnológica a ter alegadamente infringido o Regulamento Geral sobre a Proteção de Dados (RGPD) da UE, depois de ter anunciado que uma falha de software permitiu aos programadores de aplicações o acesso não autorizado às fotografias de 6,8 milhões de utilizadores. Facebook comunicou a violação dois meses depois — cerca de 57 dias atrasado, nos termos do RGPD. Consequentemente, a empresa poderá ter de pagar até 1,6 mil milhões de dólares em multas.
O que fazer se os seus dados forem expostos numa violação de dados
Mesmo que nunca tenha utilizado nenhum dos sites e serviços indicados na nossa lista das maiores violações de dados, existem centenas de violações de dados mais pequenas que não mencionámos. Antes de entrarmos nos nossos passos para responder a uma violação de dados, pode querer visitar Have I Been Pwned e ver por si próprio. Tudo o que tem de fazer é introduzir o seu endereço de correio eletrónico na caixa de pesquisa "pwned?" e ver, horrorizado, como o site lhe diz todas as violações de dados em que foi pwned.
Também é importante notar que os seus dados podem fazer parte de uma violação de que o público em geral ainda não tem conhecimento. Muitas vezes, uma violação de dados só é descoberta anos mais tarde.
De uma forma ou de outra, há uma boa hipótese de os seus dados terem sido comprometidos e há uma boa hipótese de os seus dados voltarem a ser comprometidos.
Agora que sabe que os seus dados estão algures na Dark Web, criámos esta lista passo-a-passo do que fazer quando os seus dados são roubados.
- Faça uma análise gratuita da sua pegada digital utilizando apenas o seu endereço de e-mail.
- Reponha a sua palavra-passe para a conta comprometida e para quaisquer outras contas que partilhem a mesma palavra-passe. Na verdade, não deve reutilizar palavras-passe em vários sites. Utilize o nosso gerador de palavras-passe gratuito para criar palavras-passe fortes e únicas. Os gestores de palavras-passe têm a vantagem adicional de o alertar quando chega a um site falsificado. Embora a página de início de sessão do Google ou do Facebook possa parecer real, o seu gestor de palavras-passe não reconhecerá o URL e não preencherá o seu nome de utilizador e palavra-passe por si.
- Monitorize as suas contas de crédito. Procure qualquer atividade suspeita. Lembre-se que pode obter um relatório de crédito gratuito, um de cada uma das três principais agências de crédito, todos os anos em annualcreditreport.com. Este é o único sítio autorizado pela Comissão Federal do Comércio dos EUA para obter relatórios de crédito gratuitos.
- Considere um congelamento de crédito. Um congelamento de crédito dificulta a abertura de uma linha de crédito em seu nome, restringindo o acesso ao seu relatório de crédito. Pode levantar ou parar o congelamento em qualquer altura. O único problema é que tem de contactar cada agência de crédito individualmente para decretar ou remover um congelamento.
- Observe cuidadosamente a sua caixa de correio eletrónico. Os cibercriminosos oportunistas sabem que milhões de vítimas de uma determinada violação de dados estão à espera de algum tipo de comunicação relativa às contas pirateadas. Estes burlões aproveitam a oportunidade para enviar mensagens de correio eletrónico de phishing falsificadas para parecer que provêm dessas contas pirateadas, numa tentativa de o levar a fornecer informações pessoais. Leia as nossas dicas sobre como detetar um e-mail de phishing.
- Considere os serviços de monitorização de crédito. Deve inscrever-se? Muitas vezes, após uma violação de dados, as empresas e organizações afetadas oferecem às vítimas serviços gratuitos de monitorização de roubo de identidade. Vale a pena referir que serviços como o LifeLock e outros o notificarão se alguém abrir uma linha de crédito em seu nome, mas não conseguem impedir que os seus dados sejam roubados. Resumindo: se o serviço for gratuito, não hesite em inscrever-se. Caso contrário, pense duas vezes.
- Utilizar a autenticação multifactor (MFA). A autenticação de dois factores é a forma mais simples de MFA, o que significa que precisa da sua palavra-passe e de outra forma de autenticação para provar que é quem diz ser e não um cibercriminoso que está a tentar invadir a sua conta. Por exemplo, um sítio Web pode pedir-lhe que introduza as suas credenciais de início de sessão e que introduza um código de autenticação separado enviado por mensagem de texto para o seu telemóvel.
Como posso evitar violações de dados?
As multas, os custos de reparação, os honorários legais, os processos judiciais e até mesmo os pagamentos de resgate associados a uma violação de dados representam uma quantia avultada. O estudo «Ponemon Cost of Data Breach» de 2018 revelou que o custo médio de uma violação de dados se situava em cerca de 3,9 milhões de dólares, um aumento de 6,4% em relação ao ano anterior, enquanto o custo por cada registo roubado ascendeu a 148 dólares, um aumento de 4,8% em relação ao ano anterior. De acordo com o mesmo estudo, as probabilidades de sofrer uma violação de dados são de uma em cada quatro.
Não faz sentido ser proactivo em relação à segurança dos dados e evitar uma violação em primeiro lugar? Se respondeu sim, e esperamos que tenha respondido, eis algumas práticas recomendadas para ajudar a manter a sua empresa e os seus dados seguros.
Praticar a segmentação de dados. Numa rede de dados plana, os cibercriminosos podem circular livremente pela rede e roubar cada byte de dados valiosos. Ao colocar em prática a segmentação de dados, está a atrasar os criminosos, ganhando tempo extra durante um ataque e limitando os dados comprometidos. A segmentação de dados também ajuda na nossa próxima dica.
Aplicar o princípio do menor privilégio (PolP). O PolP significa que cada conta de utilizador só tem acesso suficiente para fazer o seu trabalho e nada mais. Se uma conta de utilizador for comprometida, os cibercriminosos não terão acesso a toda a sua rede.
Invista em software de proteção contra o roubo de identidade. Iremos monitorizar a exposição da sua identidade e alertá-lo para quaisquer riscos.
Instale uma proteção de segurança cibernética respeitável, como Malwarebytes Premium. Se tiver a infelicidade de clicar numa hiperligação maliciosa ou de abrir um anexo de má qualidade, um bom programa de cibersegurança será capaz de detetar a ameaça, parar a transferência e impedir que o malware entre na sua rede.