Hackers dizem ter apagado a Tez Tour: 395 milhões de registros 'destruídos', passaportes e cartões de turistas 'em nossas mãos'; a operadora diz que só o site caiu

Na noite de 15 de setembro, a página inicial de teztour.by, o site bielorrusso da operadora de turismo Tez Tour, foi substituída por um aviso de que a empresa "deixou de existir em 15.09.2026". Um grupo que se apresenta como DataSuckers afirmou ter passado cerca de duas semanas dentro da rede da operadora, copiado e depois apagado 395,5 milhões de registros, sobrescrito os discos e excluído os backups, e disse aos clientes que seus passaportes, cartões bancários, telefones e endereços estavam "em nossas mãos". A Tez Tour confirmou um ataque à Interfax na mesma noite, mas descreveu um evento bem menor: o site foi atingido, o sistema ERP foi isolado a tempo, nenhum sinal de vazamento de dados de turistas ou parceiros foi encontrado e as reservas existentes continuam válidas. Ao meio-dia, horário de Moscou, de 16 de setembro, tez-tour.com e teztour.by seguiam inacessíveis.

O que os invasores colocaram no site

O CityDog, veículo de Minsk, capturou a página alterada antes que ela saísse do ar. Abaixo do anúncio do suposto fechamento da empresa vinha uma lista detalhada do que teria sido "irreversivelmente destruído", depois uma mensagem aos clientes dizendo que seus dados de passaporte, de cartão, telefones e endereços agora estavam com os invasores e que a empresa não tinha mais acesso a eles porque tudo havia sido apagado. Uma segunda mensagem, dirigida aos administradores da Tez Tour, zombava da competência deles, dizia que todos os servidores haviam sido "totalmente capturados", os discos sobrescritos para impedir recuperação e os backups excluídos, e previa que só voltar a entrar levaria dias. Em comentários ao Habr, o grupo acrescentou detalhes técnicos: o acesso teria sido obtido cerca de duas semanas antes pelo serviço de upload de arquivos da operadora, que aceitou um arquivo que o servidor web então executou como código PHP; isso deu execução de comandos dentro de um contêiner Docker; o contêiner era isolado, mas enxergava a rede interna da empresa e os serviços corporativos; ali o grupo encontrou credenciais de repositórios SVN cujos arquivos de configuração continham senhas de bancos de dados, e o acesso a um console Tomcat Manager permitiu executar código em produção. Também afirmou que os administradores usavam software antigo e vulnerável e guardavam os backups no mesmo servidor do site. O site internacional tez-tour.com devolvia um erro 503 na mesma noite.

O que a empresa diz e o que nenhum lado mostrou

A declaração da Tez Tour, dada à Interfax Turismo pelo diretor comercial Voskan Arzumanov na noite de 15 de setembro, não contesta a invasão. Diz que, assim que a atividade não autorizada foi detectada, a empresa tomou medidas para conter o incidente e proteger seus sistemas, que até agora nenhum comprometimento de dados de turistas ou parceiros foi identificado, que o sistema ERP foi isolado a tempo e não foi afetado, que todas as reservas em vigor continuam válidas e as obrigações com turistas e parceiros estão sendo cumpridas normalmente, e que especialistas estão verificando toda a infraestrutura antes de restabelecer os serviços em etapas. A distância entre os dois relatos é a habitual depois de uma página alterada. Os invasores publicaram uma lista de números e uma descrição do caminho de entrada, mas nenhuma amostra de dados, nenhuma listagem de arquivos, nenhuma captura do conteúdo dos bancos; a empresa publicou um desmentido de qualquer vazamento enquanto seus sistemas públicos continuam fora do ar e sua investigação, pelo próprio relato, ainda apura a causa. Um grupo que realmente sobrescreveu discos de produção e backups não teria motivo para manter os dados em segredo, e uma empresa que realmente perdeu seu banco de reservas teria dificuldade em dizer que as reservas estão intactas. Nenhum desses testes foi feito ainda. A própria contagem de registros está inflada ou errada: as quatro categorias da página somam cerca de 371 milhões, e as 252 milhões de "transações financeiras" incluem cada linha de pagamento já registrada, não 252 milhões de clientes. O Habr lembra ainda que em junho outra operadora russa, a Fun&Sun, sofreu o que chamou de "anomalia técnica" que deixou clientes pagantes sem passagens, seguro e vouchers de hotel por mais de um mês.

O que um cliente deve fazer nesta semana

Trate a alegação dos invasores como possível até que a empresa mostre o contrário, porque o custo de errar é assimétrico. O cadastro de uma operadora sobre um cliente costuma conter cópia do passaporte, data de nascimento, endereço, telefone, às vezes um pedido de visto, mais o cartão usado para pagar e as datas exatas em que a família estará fora de casa. A primeira coisa que criminosos fazem com essa combinação é escrever ao cliente em nome da operadora: a reserva precisa ser "reconfirmada", um formulário de reembolso pela viagem interrompida, um link para "restaurar o acesso" à conta pessoal. Não confirme nem redigite nada por um link recebido em mensagem; ligue para a agência em que reservou, pelo número do seu contrato, e peça confirmação por escrito das passagens, do voucher de hotel e do seguro diretamente à companhia aérea, ao hotel e à seguradora sempre que possível. Acompanhe os extratos do cartão em busca de pequenas cobranças de teste e considere pedir ao banco a reemissão de um cartão usado no site da operadora. Um número de passaporte não pode ser trocado a pedido, mas um número vazado é problema sobretudo em combinação com outros dados, então desconfie de qualquer ligação que já conheça suas datas de viagem. Grandes bases de passaportes costumam ressurgir muito depois do vazamento, como mostraram neste mês os 220 milhões de registros de fronteira vazados do Vietnã, e a Rússia já lidera o mundo em número de bancos de dados vazados por uma das contagens.