Category: crimes cibernéticos

Invasão a sistema da Adidas expõe dados de clientes de todo o mundo

27 de maio de 2025

Invasão a sistema da Adidas expõe dados de clientes de todo o mundo

Consumidores receberam email da Adidas (imagem: divulgação)

Resumo

O sistema de atendimento ao cliente da Adidas, gerido por uma terceirizada, sofreu invasão que expôs dados pessoais, mas não financeiros, de consumidores.
Informações como nome, e-mail, telefone e data de nascimento podem ser usadas por golpistas em fraudes e contatos falsos.
Adidas afirma que já tomou medidas para investigar e conter o incidente.

A Adidas enviou um comunicado aos seus clientes em todo o mundo sobre um possível vazamento de dados. Segundo a empresa, o acesso aos dados dos consumidores ocorreu por meio de uma invasão aos sistemas de um provedor de serviços ao cliente terceirizado. As informações acessadas pelos cibercriminosos são nome, e-mail, telefone, sexo e data de nascimento dos consumidores.

A Adidas afirma que nenhuma informação sobre métodos de pagamento foi roubada. Todos os dados foram extraídos do sistema de atendimento ao cliente, que demanda apenas os dados listados anteriormente. O Tecnoblog testou o sistema de atendimento no site da Adidas e ele segue funcionando neste momento.

Qual o risco do vazamento de dados dos clientes da Adidas?

O vazamento das informações listadas pela Adidas pode ser usado por golpistas para contatar vítimas. A informação da data de nascimento tem outro risco, que é ser usada pelos criminosos para passar mais autenticidade na aplicação de um golpe.

Comunicado enviado pela Adidas informa dados que foram acessados por criminosos (imagem: Lucas Lima/Tecnoblog)

O que fazer para me proteger do vazamento de dados da Adidas?

A principal ação que o cliente afetado deve tomar é se manter atento a contatos suspeitos via telefone ou e-mail. Por exemplo, um golpista pode ligar para a vítima se passando pela Adidas e pedindo dados financeiros — algo que a empresa e outras companhias não fazem. Os criminosos podem ainda enviar e-mails de phishing aos alvos, se passando pela marca.

O que a Adidas está fazendo para proteger os dados dos consumidores?

No comunicado enviado aos clientes, ao qual o Tecnoblog teve acesso, a empresa informa que está aprimorando as medidas de segurança. Além disso, a Adidas afirma que já tomou medidas para investigar e conter o incidente.

No início deste mês, a Adidas comunicou clientes na Turquia e Coreia do Sul sobre um problema idêntico, mas com divulgação de endereço. Não há informações se o caso do início do mês e este divulgado nesta segunda-feira (26/05) estão relacionados — ainda que ambos tenham em comum o acesso ao serviço de atendimento ao cliente.

Com informações do BleepingComputer
Invasão a sistema da Adidas expõe dados de clientes de todo o mundo

Invasão a sistema da Adidas expõe dados de clientes de todo o mundo
Fonte: Tecnoblog

Microsoft implora: usem as passkeys para se protegerem

20 de dezembro de 2024

Microsoft implora: usem as passkeys para se protegerem

Microsoft reforça que usuários devem utilizar passkeys para se manterem suas contas mais seguras (Imagem: Vitor Pádua / Tecnoblog)

A Microsoft está fazendo um apelo para os internautas: usem os passkeys para proteger as suas contas de hackers. A big tech fez uma publicação em seu blog relatando os seus esforços em convencer as pessoas a usarem essa tecnologia para logar em suas contas. Parte da estratégia de convencimento envolve melhorias no design e experiência do usuário.

No blog, a Microsoft revela que seus serviços de segurança bloquearam 7.000 ataques a senhas por segundo em 2024 — o dobro do ano passado. A big tech ainda relata que houve um aumento de 146% nos ataques do tipo man in the middle, no qual o cibercriminoso intercepta o tráfego de dados da vítima com algum serviço (como um internet banking).

Além da Microsoft, Google e Apple também defendem o uso de passkeys (chaves de acesso) para a segurança das contas. As três empresas até estão atuando em conjunto para que a solução seja integrada entre os sistemas e serviços das empresas. Por exemplo, uma chave de acesso do seu Microsoft 365 sendo usada para acessar a conta no macOS.

Passkey é aposta das big techs para ampliar a segurança das contas e impedir ataques (Imagem: Vitor Pádua/Tecnoblog)

Como a Microsoft vem convencendo os usuários a adotar o passkey?

A Microsoft explicou que primeiro passou a exibir a opção de adotar um passkey na criação das contas e durante o login. Com isso a big tech aprendeu que o termo passkey não é popular. A Microsoft então trocou pelos termos “rosto, digital ou pin”, o que facilitou o entendimento da modalidade da chave de acesso.

Esse método de incluir a opção de criar passkey após o login foi mais eficiente do que a Microsoft esperava. Afinal, quando você entra em uma conta você quer logo usar o serviço. Contudo, a estratégia da big tech foi efetiva e levou 25% dos usuários a criarem uma passkey — valor cinco vezes maior do que a empresa esperava.

Ao resetar uma senha o usuário também é convidado a criar uma passkey. Após escolher uma chave de acesso, ela se torna a opção padrão na hora de logar em uma conta. A meta da Microsoft e das big techs é acabar de vez com o uso de senhas, adotando apenas métodos imunes à phishing.

Por que passkeys são importantes para a segurança digital?

Passkey evitam ataques de phising e também resolvem o problema do esquecimento de senha (imagem ilustrativa: Vitor Pádua/Tecnoblog)

As passkeys podem ser armazenadas no dispositivo, como o telefone ou computador, e podem ser um PIN, digital ou reconhecimento facial. O método de usar um aplicativo autenticador também é uma forma de passkey.

Chaves de acesso biométricas impedem que o usuário caia em alguma tentativa de phishing — PINs são números e podem ser roubados, seja por alguém te espiar enquanto você digita ou por te enganar a passar o código. Como é necessário o seu rosto ou a sua digital para entrar na conta, o hacker não pode copiar a sua digital ou seu rosto.

Passkeys biométricas também não sofrem o problema de esquecimento. Você pode esquecer a senha, mas não o seu dedo ou rosto. A Microsoft também explica que as chaves de acesso deixam o login mais ágil — e dispensam você de realizar as etapas de recuperação de senha caso tenha esquecido.

Com informações: Tech Radar
Microsoft implora: usem as passkeys para se protegerem

Microsoft implora: usem as passkeys para se protegerem
Fonte: Tecnoblog

Chefe do ransomware Lockbit é identificado com US$ 100 milhões na conta

8 de maio de 2024

Chefe do ransomware Lockbit é identificado com US$ 100 milhões na conta

Força-tarefa internacional revelou a identidade de LockBitSupp, chefe do grupo de ransomware LockBit (Imagem: Divulgação/NCA)

O chefe do grupo de ransomware LockBit teve a sua identidade revelada nesta terça-feira (7). A Operação Cronos, formada por uma força-tarefa de 16 órgãos de segurança de 11 países, divulgou que o russo Dmitry Yuryevich Khoroshev, de 31 anos, comanda da organização. Segundo a investigação, Khoroshev acumulou US$ 100 milhões com os cibercrimes.

A Operação Cronos foi deflagrada em fevereiro deste ano e é liderada pela National Crime Agency (NCA), do Reino Unido. A força-tarefa conseguiu prejudicar a atividade do grupo LockBit e prender diversos membros envolvidos nos ataques de ransomware. Além da NCA, integram a força-tarefa órgãos de segurança da Alemanha, Austrália, Canadá, Finlândia, França, Estados Unidos, Japão, Países Baixos, Suécia, Suíça e Inglaterra, com apoio da Europol.

Estados Unidos pagará recompensa de US$ 10 milhões

Site do LockBit na DeepWeb foi tomado por força-tarefa em fevereiro, mas identidade do chefe foi revelado neste mês (Imagem: Reprodução/BleepingComputer)

A justiça dos Estados Unidos está oferecendo uma recompensa de US$ 10 milhões por qualquer informação que leve à captura de Khoroshev. A dificuldade é que o alvo é russo e o país não permite a extradição de seus próprios cidadãos.

Ciente dos riscos que corre, Khoroshev não deve se locomover para qualquer país com tratado de extradição com os Estados Unidos. A Austrália, os Estados Unidos e o Reino Unido publicaram sanções contra o chefe do LockBit. Se condenado, Khoroshev pode pegar até 145 anos de prisão.

A recompensa ofertada pela justiça americana é 10% do que o fundador do LockBit ganhou com ransomware desde 2019. A Operação Cronos especula que o grupo lucrou US$ 500 milhões coma atividade, sendo que Khoroshev ganhou US$ 100 milhões nesse período.

O LockBit funcionava como um “Ransomware-as-a-Service”, na qual outros cibercriminosos utilizavam o sistema do grupo para realizar os ataques. Uma porcentagem da arrecadação ficavam com o LockBit.

Segundo a NCA, os ataques ransomware que utilizam a tecnologia do LockBit caíram 73% no Reino Unido desde fevereiro, com outros países também relatando quedas desses ataques.

Com informações: Ars Technica
Chefe do ransomware Lockbit é identificado com US$ 100 milhões na conta

Chefe do ransomware Lockbit é identificado com US$ 100 milhões na conta
Fonte: Tecnoblog

App do Nubank agora avisa quando tem ligação do banco para você

5 de abril de 2024

App do Nubank agora avisa quando tem ligação do banco para você

App do Nubank informa que cliente “pode confiar” na ligação (Imagem: Divulgação/Nubank)

Resumo

O Nubank lançou o recurso Chamada Verificada para informar aos seus clientes, por meio do app oficial, sobre a autenticidade de ligações recebidas do banco. A medida melhora a segurança e ajuda a combater golpes.
A verificação da chamada só é possível após o cliente atender a ligação e, em seguida, acessar o app oficial para confirmar se é uma comunicação legítima do banco. Ela também se aplica a ligações feitas por parceiros credenciados do Nubank.
A funcionalidade não é ativada caso o cliente faça a ligação para o Nubank.

O Nubank anunciou nesta quinta-feira (4) o recurso de Chamada Verificada, que informa no próprio app se a ligação que o cliente está recebendo é proveniente do banco. A ferramenta traz um novo card na tela inicial, onde mostrará se há ou não uma ligação do banco para o cliente. O lançamento do Chamada Verificada é gradual, com a previsão de chegar para todos os usuários nas próximas semanas.

O card de notificação do recurso fica na parte superior da tela, junto de outros avisos. No entanto, a confirmação da Chamada Verificada não será enviada para a barra de notificações do smartphone. É necessário que o usuário abra o aplicativo para conferir a autenticidade da chamada.

Chamada Verificada fica ativa apenas ao atender a ligação

Como explica o Nubank através do comunicado enviado a imprensa, o Chamada Verificada só informa a autenticidade da ligação após o cliente atender. Então, o usuário do banco precisa aceitar a chamada e abrir o app para confirmar que se trata de uma ligação do Nubank.

App do Nubank informa: “estamos falando com você no telefone” (Imagem: Divulgação/Nubank)

Pode ser pouco prático atender uma ligação, navegar no smartphone e abrir o app para verificar a autenticidade — este que vos escreve acha chato ter que mexer no celular em ligação. Contudo, muito mais incômodo é cair num golpe e ter que lidar com problemas bancários. Este recurso ajudará a evitar os golpes da falsa central, no qual os criminosos se passam por funcionários do banco.

O Nubank explica que o Chamada Verificada só é ativado em ligações aceitas feitas pela empresa. Chamadas realizadas por parceiros credenciados também são identificadas no recurso. No entanto, o app não ativa a função se o cliente é quem realiza a ligação. Ou seja, se você recebeu um golpe de SMS dizendo que houve uma compra não reconhecida, ligar para o número indicado na mensagem não receberá o check da Chamada Verificada.

Anatel quer identificar motivos de ligações

Empresas de telecomunicações iniciam testes do Stir/Shaken em rede aberta (Ilustração: Vitor Pádua/Tecnoblog)

Ainda nesta semana, a Anatel iniciou os testes de identificação de chamada utilizando o protocolo Stir/Shaken. A proposta deste recurso é permitir que o usuário saiba qual empresa está ligando e o motivo da ligação. Assim como o Chamada Verificada, o recurso da Anatel poderá combater tentativas de golpes. O sistema da Anatel exigirá que Apple, Motorola, Samsung, Xiaomi e outras fabricantes adaptem o app nativo de telefone para exibir as novas informações.
App do Nubank agora avisa quando tem ligação do banco para você

App do Nubank agora avisa quando tem ligação do banco para você
Fonte: Tecnoblog

Hyundai confirma que sofreu invasão na Europa, mas não fala de ransomware

9 de fevereiro de 2024

Hyundai confirma que sofreu invasão na Europa, mas não fala de ransomware

Hyundai sofreu ataque no início de janeiro, mas só agora se pronunciou sobre o caso (Imagem: Vitor Pádua/Tecnoblog)

A Hyundai confirmou nesta semana que foi vítima de uma invasão aos seus sitemas. O alvo foi a divisão da montadora na Europa, cuja sede está na cidade de Berlim. O ataque aconteceu no início de janeiro, mas na época a Hyundai não se pronunciou sobre a causa dos problemas em seu site.

De acordo com o BleepingComputer, o primeiro a relatar o caso, uma imagem dos dados sequestrados indica que os cibercriminosos tiveram acesso aos arquivos dos departamentos jurídicos, vendas, recursos humanos, contabilidade, TI e gerências. As informações roubadas incluem dados da KIA Europa — a KIA é de propriedade da Hyundai.

O ataque é atribuído ao grupo Black Basta, cujas atuações começaram por volta de 2022. O grupo foi responsável pelos ataques ransomware contra a Biblioteca Pública de Toronto, a associação de dentistas dos Estados Unidos e a editora Yellow Pages Canada. É especulado que o grupo já recebeu US$ 100 milhões (R$ 499 milhões) desde o início de suas operações.

Hyundai sofre terceiro ataque em menos de um ano

Hyundai passa pelo terceiro ciberataque em menos de um ano (Imagem: Facebook/Hyundai)

Este é o terceiro ciberataque sofrido pela Hyundai desde abril de 2023, quando dados de clientes da marca na França e Itália foram roubados — incluindo de pessoas que agendaram test drive com a fabricante. Nesse caso, os cibercriminosos roubaram endereços de email, residência, número de telefone e chassi dos veículos. Nenhum dado de pagamento foi vazado.

Já neste ano, também no início de janeiro, a conta da Hyundai MEA, que atende os públicos da África e Oriente Médio, no Twitter/X foi invadida. Os hackers usaram a conta para se passar pela Overworld, um jogo de RPG, e divulgar um golpe de criptomoedas.

Com informações: TechRadar e BleepingComputer
Hyundai confirma que sofreu invasão na Europa, mas não fala de ransomware

Hyundai confirma que sofreu invasão na Europa, mas não fala de ransomware
Fonte: Tecnoblog

Hackers usam 3 milhões de escovas de dente inteligentes em novo ataque

7 de fevereiro de 2024

Hackers usam 3 milhões de escovas de dente inteligentes em novo ataque

Cibercriminosos invadiram 3 milhões de escovas de dente para ataque DDoS (Imagem: Vitor Pádua/Tecnoblog)

Três milhões de escovas de dente elétricas inteligentes foram usadas em um ataque DDoS. O caso foi divulgado pelo veículo suíço Aargauer Zeitung, que não revelou as marcas envolvidas e nem a empresa que foi alvo. O jornal apenas informou que o alvo era da Suíça e o ataque DDoS causou um prejuízo de milhões de euros.

Os ataques DDoS utilizam diversos dispositivos com acesso à internet para sobrecarregar um site ou serviço. Com isso, os hackers causam prejuízos ao alvo. Em alguns casos, quando o ataque não é mitigado, o grupo cibercriminoso pode exigir uma quantia para cessar a atividade.

Com mais produtos ganhando conexão com internet, integrando a Internet das Coisas (IoT, sigla em inglês), fica mais acessível invadir dispositivos e criar uma botnet. Essa botnet, formada por milhares de eletrônicos conectados, é então usada pelos cibercriminosos para atacar os alvos.

Escovas inteligentes com vulnerabilidade no sistema operacional

Jornal não divulgou marca das escovas e nem empresa atacada; escovas inteligentes trazem recurso para monitorar escovação (Imagem: Divulgação/Oral-B)

De acordo com o site, os cibercriminosos se aproveitaram de uma vulnerabilidade no sistema operacional das escovas, que é baseado em Java. Você pode estar se perguntando: qual é o objetivo de ter uma escova inteligente? Esses produtos monitoram a escovação e utilizam um app no smartphone para compartilhar essas informações.

Usar 3 milhões de escovas de dentes em um ataque DDoS tem o seu valor cômico. No entanto, com mais empresas investindo em produtos inteligentes, como babás eletrônicas, campainhas, lâmpadas e até micro-ondas, há mais dispositivos que podem ser invadidos. O risco aumenta quando uma empresa não investe na segurança do produto ou se o usuário não atualiza o sistema.

Como ser vítima de um ataque cibernético pode prejudicar a imagem, é pouco provável que a Fortinet divulgue as marcas das escovas e a empresa alvo do DDoS — pelo menos nesse primeiro momento. Se você tem uma escova inteligente e recentemente teve que instalar alguma atualização importante, mande um “alô” para nós.

Invasões para ataques DDoS são mais prováveis

Ataques DDoS se aproveitam de produtos IoT com baixa segurança (Imagem: Vitor Pádua / Tecnoblog)

O caso das invasões às escovas de dentes é um bom gancho para relembramos um especial feito pelo Tecnoblog. No ano passado, publicamos sobre os possíveis riscos de invadir uma webcam.

No texto, Pietro Delai, diretor de pesquisa e consultoria da IDC na América Latina, explica que dispositivos IoT são os principais alvos de invasões, justamente porque podem ser usados em ataques DDoS, como foi o caso das escovas de dentes.

Com informações: Tom’s Hardware, Golem.de e Aargauer Zeitung
Hackers usam 3 milhões de escovas de dente inteligentes em novo ataque

Hackers usam 3 milhões de escovas de dente inteligentes em novo ataque
Fonte: Tecnoblog

26 bilhões de contas aparecem em maior vazamento da história

23 de janeiro de 2024

26 bilhões de contas aparecem em maior vazamento da história

Pacotão de contas vazadas foi disponibilizado por hackers — ou um único hacker (imagem ilustrativa: Vitor Pádua/Tecnoblog)

Um pacote de 26 bilhões de dados foi encontrado pela Security Discovery, um grupo de cibersegurança. O grande número é resultado da compilação de informações de vazamentos anteriores — e é praticamente certo que há dados duplicados. A maior parte das informações é oriunda de um leak da Tencent, mas também há registros de órgãos públicos do Brasil.

O maior risco desse compilado de contas está relacionado com senhas repetidas. Os possíveis compradores ou grupo cracker que está com o pacotão de dados pode usar as senhas vazadas para tentar entrar em outras contas — ainda que essas informações sejam antigas.

Por exemplo, existem 251 milhões de contas do LinkedIn nesse pacote e 281 milhões do Twitter. Em 2016, 164 milhões de contas da plataforma tiveram suas senhas vazadas. O usuário que trocou a senha do LinkedIn na época, mas ainda usa o mesmo código em outro serviço está em risco. Assim, um cibercriminoso pode tentar usar a senha do LinkedIn no Twitter, já que alguns emails dos usuários foram vazados em 2022.

Serviços chineses são as maiores fontes

Mais de 2 bilhões das contas vazadas são de empresas chinesas (Imagem: Vitor Pádua/Tecnoblog)

A Tencent QQ, serviço de mensagem da empresa, e Weibo são as plataformas com maiores números de dados vazados. A Tencent tem 1,5 bilhão de contas no pacote, enquanto o Weibo tem 504 milhões. Fechando o top 5 temos, respectivamente, MySpace (360 milhões), Twitter (281 milhões) e Wattpad (271 milhões).

O Tecnoblog entrou em contato com a Security Discovery para saber se o pacote está à venda ou apenas foi um achado da equipe. A matéria será atualizada quando a empresa responder.

É provável que o megavazamento de 223 milhões de CPFs não integre a lista, já que as 18 maiores fontes não incluem o Brasil — e o Badoo, 18º lugar, é fonte de 127 milhões de dados. No entanto, o ConecteSUS e a Caixa Econômica Federal já foram alvo de hackers no passado, sem vazamentos de grandes proporções.

No site da CyberNews existe uma ferramenta para pesquisar a origem dos dados. A Petrobras, SPTrans e USP são algumas das fontes listadas. Entre as empresas privadas do Brasil estão a Descomplica (vazamento em 2021), Vakinha (vazamento em 2020) e CCAA.

Para conferir se os seus emails foram vazados através do site Have I Been Pwned?, que registra contas vítimas desses cibercrimes. Como os 26 bilhões de dados são um “combo” de vazamento anteriores, você pode checar se seu email integra algum dos bancos de dados divulgados pela Cyber Security.

Vazamento de 2021 da Descomplica foi reaproveitado nesse pacote de 26 bilhões de contas (Imagem: Reprodução/Have I Been Pwned?)

18 maiores fontes de dados do vazamento

Tencent – 1,5 bilhão

Weibo – 504 milhões

MySpace – 360 milhões

Twitter – 281 milhões

Wattpad – 271 milhões

NetEase – 261 milhões

Deezer – 258 milhões

LinkedIn – 251 milhões

AdultFriendFinder – 220 milhões

Zynga – 217 milhões

Luxottica – 206 milhões

Evite – 179 milhões

Zing – 164 milhões

Adobe – 153 milhões

MyFitnessPal – 151 milhões

Canva – 143 milhões

JD.com – 142 milhões

Badoo – 127 milhões

Com informações: Tom’s Guide
26 bilhões de contas aparecem em maior vazamento da história

26 bilhões de contas aparecem em maior vazamento da história
Fonte: Tecnoblog

LastPass adota de vez senha mestre de 12 caracteres

4 de janeiro de 2024

LastPass adota de vez senha mestre de 12 caracteres

LastPass exigirá que todos os clientes utilizem uma senha mestra de 12 caracteres (Imagem: Emerson Alecrim/Tecnoblog)

A LastPass, empresa de gerenciamento de senhas, divulgou nesta semana uma atualização para a criação de senha mestre. Agora, todos os clientes terão que usar uma senha mestre de no mínimo 12 caracteres. Isso já era uma exigência da empresa desde 2018, mas quem criou uma conta antes disso e nunca a atualizou pode estar com uma senha menor e menos segura.

No comunicado em que informa sobre a mudança, a LastPass destaca que o mínimo de caracteres exigido é maior do que o recomendado pela NIST, órgão americano equivalente à ABNT, que sugere uma senha de oito caracteres ou mais. De fato, as regras de senha da LastPass são melhores para a criação de uma senha difícil de ser quebrada — mais do que caracteres especiais, é importante que a sua senha seja longa.

LastPass obrigará uso de senha mestra de 12 caracteres

Senhas mais longas são mais seguras e LastPass finalmente fará seus usuários seguirem a medida de segurança (Imagem: Vitor Pádua/Tecnoblog)

A partir dos próximos dias, usuários dos planos pessoais (gratuito, premium e família) do LastPass receberão emails informando que eles devem atualizar a senha mestra para atender a nova regra do serviço. Em seguida, a notificação será enviada para os clientes dos planos Teams e Business, que atendem empresas.

A nova regra de senha mestra do LastPass segue o que é padrão em outros serviços: além de ter no mínimo 12 caracteres, é obrigatório que haja, pelo menos, um caractere especial, um número, uma letra minúscula e uma letra maiúscula. De acordo com um estudo da Home Security Heroes, uma combinação desse tipo e com 12 caracteres pode levar 2 mil anos para ser quebrada por uma inteligência artificial.

LastPass sofreu com vazamento de senhas em 2022

Em 2022, a LastPass foi vítima de dois ataques. O primeiro, em agosto, roubou código fonte da empresa. Meses depois, em novembro, esse código foi usado para invadir a nuvem de armazenamento do serviço, o que gerou um caso mais grave, no qual o backup do cofre dos usuários foi roubado. Mesmo com senhas, esses cofres poderiam ser invadidos através de ataques de força-bruta.

Com informações: The Verge e BleepingComputer
LastPass adota de vez senha mestre de 12 caracteres

LastPass adota de vez senha mestre de 12 caracteres
Fonte: Tecnoblog

App brasileiro WebDetetive sofre ataque e dados de 76 mil usuários são roubados

28 de agosto de 2023

App brasileiro WebDetetive sofre ataque e dados de 76 mil usuários são roubados

O app brasileiro WebDetetive, usado para espionar smartphones de terceiros, sofreu uma invasão e dados de 76 mil usuários foram roubados pelo crackers. Os cibercriminosos publicaram uma nota (acessada pelo TechCrunch) em que explicam como invadiram os servidores do aplicativo através de vulnerabilidades. As informações das vítimas dos spywares foram apagadas pelos hackers.

Spyware brasileiro WebDetetive teve servidor invadido e dados de 76 mil usuários foram roubadas. (Imagem: Vitor Pádua/Tecnoblog)

Os responsáveis pelo ataque usaram falhas no dashboard para web do aplicativo para roubar as informações dos “clientes”. Entre os dados roubados estão o histórico de compras, celulares que o usuário estava “stalkeando”, IP e email — estes dois últimos os dados mais sensíveis. O app WebDetetive não emitiu nenhum comunicado até o momento — e nem deve emitir.

Crackers afirmam que deletaram dados de “stalkeados”

Na nota dos cibercriminosos, que não se identificaram e estava no meio do 1,5 GB de dados “garimpados”, eles afirmam que apagaram os dados dos smartphones espionados. Por mais que dois errados não façam um certo, a atitude dos crackers e o texto da nota, em que eles se posicionam contrário aos stalkerwares (outro nome para spyware), ajudará pessoas que eram espionadas. No uso desses apps, há sempre a chance da vítima estar em uma situação vulnerável.

Cibercriminosos apagaram os dados das vítimas do spyware e mandaram os stalkers para aquele lugar (Imagem: Vitor Pádua/Tecnoblog)

Os cibercriminosos também “cortaram” a conexão entre o servidor do WebDetetive e os celulares stalkeados. Isso impede que novos dados sejam enviados para os “espiões”. No total, dados de 76.794 smartphones Android foram roubados pelos crackers. O aplicativo só pode ser instalado via sideloading, já que as lojas de App não permite que desenvolvedores subam programas de spyware.

WebDetetive é mais um spyware atacado nos últimos meses

O ataque ao spyware WebDetetive é mais um contra apps desse tipo nos últimos meses. Em junho, o LetMeSpy teve até mesmo os dados do criador exposto em um ataque. Neste caso, o app de origem polonesa também não se pronunciou sobre a invasão em seus servidores.

Por se tratar de um aplicativo “polêmico” (e até criminoso em alguns casos), os criadores preferem ficar em silêncio sobre a situação. Desse modo, o WebDetetive também não deve emitir um comunicado sobre o ataque sofrido.

Com informações: TechCrunch
App brasileiro WebDetetive sofre ataque e dados de 76 mil usuários são roubados

App brasileiro WebDetetive sofre ataque e dados de 76 mil usuários são roubados
Fonte: Tecnoblog