Após violação de dados da Microsoft, Sophos orienta usuários como agir

Durante três semanas aproximadamente 250 milhões de registros de usuários ficaram expostos. O fato aconteceu entre 05 a 31 de dezembro de 2019 quando a própria Microsoft anunciou a violação de dados que atingiu um de seus bancos de dados usado para análise de casos de suporte. A divulgação foi feita no artigo de blog Erro de Configuração de Acessos para Banco de Dados de Suporte ao Cliente.

Apesar da Microsoft não divulgar a dimensão do seu banco de dados, o site Comparitech afirmou ter descoberto esses dados desprotegidos e que contavam com cerca de 250 milhões de registros de clientes. Entre essas informações estavam “registros de conversas entre agentes de suporte da Microsoft e clientes de todo o mundo, abrangendo um período de 14 anos, de 2005 a dezembro de 2019.” Além disso, esses dados estavam acessíveis em cinco servidores Elasticsearch. Foi o Comparitech que fez a descoberta para a Microsoft, que por sua vez tratou rapidamente de proteger seus dados. Em nota a empresa afirmou que “informações pessoais já haviam sido excluídas da grande maioria dos registros”, isso significa que era utilizado ferramentas automatizadas para remover e procurar os dados privados.

Formalmente a Microsoft não divulgou quais as informações pessoais que estavam envolvidas e quais dados ficaram expostos, mas exemplificou que dados de e-mail que continham espaços digitados por engano, por exemplo: nome[espaço]@exemplo.com, não constavam reconhecimento como dado pessoal e teria sido deixado inalterado. A empresa também prometeu notificar as pessoas que tiveram seus dados expostos, mas não divulgou qual a porcentagem de seus registros que foi afetada.

Orientação da Sophos

Não é possível saber quais dados pessoais foram expostos nem quantos usuários de fato foram prejudicados. Além da Comparitech, não se pode afirmar quem mais pode ter acessado esses dados pessoais nas três semanas que ficaram expostos. A Microsoft por sua vez afirma que não percebeu nenhum acesso malicioso em seu sistema.

A Sophos orienta que, caso o usuário tenha entrado em contato com o suporte da Microsoft entre 2005 e 2019 mas não tenha recebido recentemente alertas da empresa, provavelmente seus dados não estavam no banco de dados atingido, pois provavelmente nem mesmo a própria Microsoft foi capaz de identificar esse usuário.

“Centenas de milhões de registros foram expostos, mas parece que relativamente poucas pessoas realmente tinham endereços de e-mail reconhecíveis no banco de dados vazado. Em outras palavras, a maioria das pessoas na verdade não receberão alertas da Microsoft – mas talvez recebam “avisos” de cibercriminosos que afirmam ser da Microsoft”, afirma Paul Ducklin, principal pesquisador da Sophos.

O último alerta da empresa é para que os clientes da Microsoft não cliquem nos links de aviso de segurança, pois muitos não serão reais. Ao clicar os usuários poderão entrar em sites de phishing colocando suas senhas por engano e expondo ainda mais seus dados aos cibercriminosos. O pesquisador da Sophos ainda afirma “Encontre o seu próprio caminho para as páginas de login que você usa e nunca se deixe enganar pelos dados de contato fornecidos em um e-mail”.

Sophos é líder absoluto no mercado de segurança de TI e você pode ter essa tecnologia na sua empresa, mantendo a sua base de dados pessoais segura e em conformidade com a LGPD (Lei Geral de Proteção de Dados Pessoais), que entra em vigor no Brasil em agosto deste ano.

A DeServ é Sophos Gold Partner e orienta as empresas de todos os portes e segmentos em como se adequar à implantação da nova lei de proteção de dados, através de consultorias e indicação das melhores soluções para cada negócio. Além disso, a DeServ é um centro de treinamentos Exin.

Entre em contato com nossa equipe comercial e tenha um mapeamento completo do seu ambiente, investindo nas soluções corretas para a segurança dos dados da sua empresa.

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *