Hacker põe à venda 10 milhões de registos do subcontratado francês Solutions30

Um hacker que usa o nome Syrv4x está a vender uma base de dados de 34 GB que o anúncio atribui à Solutions30, empresa de origem francesa cujos técnicos instalam e reparam equipamentos em casas e escritórios para empresas de telecomunicações, energia e informática em toda a Europa. O anúncio refere 10 376 950 registos, incluindo quase 4 milhões de nomes distintos, 6,8 milhões de números de telefone únicos e 981 883 endereços de email únicos, além de moradas de clientes e dos locais para onde foram enviados técnicos. A Solutions30 não confirmou uma violação nem fez comentários.

O que mostra a amostra

O site francês Cyberattaque.org obteve uma amostra de 1500 linhas e afirma que os dados correspondem a fichas de clientes e de contacto usadas no trabalho da Solutions30. Desses 1500 registos, 1309 tinham morada postal, 840 número de telefone, 468 número de telemóvel e 277 endereço de email. A estrutura inclui ainda campos para profissão, contactos empresariais, números de registo de empresas e referências internas que ligam cada registo a um parceiro ou a um tipo de trabalho. Os campos de comentário de texto livre estavam preenchidos em 544 registos.

O site não encontrou palavras-passe, números de cartões bancários nem IBAN na amostra. Alguns perfis mais antigos contêm, porém, identificadores de acesso ADSL ou VoIP, o plano de internet e o operador anterior. Quando a data de subscrição estava preenchida, situava-se entre 2008 e 2014, o que sugere que pelo menos parte do ficheiro remonta à PC30, o nome com que a empresa instalava modems e routers para operadores de internet franceses.

Os totais vêm do vendedor e não puderam ser verificados com os 34 GB completos. Também não significam 10 milhões de pessoas diferentes: uma pessoa pode aparecer em vários registos ou estar associada a várias visitas.

Grandes empresas no ficheiro

A Solutions30 trabalha por conta de empresas que subcontratam a instalação e a manutenção, pelo que os dados vão muito além dos seus próprios clientes. Na amostra, o Cyberattaque.org encontrou referências ao BNP Paribas, Carrefour, Thales, Fnac, Renault, Allianz, Dassault e ao Banco de França. Em 221 registos, o BNP Paribas surgia com detalhes da sua estrutura interna, até ao nível de departamento e agência. Isso não significa que estas empresas tenham sido alvo de pirataria: aparecem porque a Solutions30 realizou trabalhos ou tratou contactos para elas. A lista do vendedor refere mais de 160 contratos, clientes ou tipos de trabalho na banca, no retalho, nas telecomunicações, na energia e na informática.

A Solutions30 afirma ter mais de 16 000 técnicos, realizar mais de 80 000 intervenções por dia na Europa e ter ultrapassado os 65 milhões de trabalhos desde a sua fundação, em 2003. Não se sabe como o Syrv4x obteve os dados: pode ter sido uma intrusão recente, um servidor antigo, uma aplicação empresarial ou uma cópia de segurança encontrada noutro local. O mesmo vendedor publicou, no final de setembro, quase 16 000 registos de marcações de ligação da SFR.

O risco: o falso técnico

As violações em subcontratados são difíceis de prever para os clientes. Esta semana, o maior grupo de tratamento oncológico da Austrália confirmou uma fuga de dados num dos seus fornecedores. Aqui, o principal perigo não é o acesso direto a contas bancárias, mas o contexto que o ficheiro dá a um burlão. Quem conhece o seu nome, morada, número de telefone e o operador que enviou um técnico pode telefonar ou bater à porta fazendo-se passar por esse técnico, a propósito do seu router, linha de fibra, contador ou terminal de pagamento, e parecer convincente. Os funcionários de empresas listados com a função e o departamento são também alvos fáceis de phishing personalizado.

• Se alguém telefonar ou aparecer à porta por causa de uma reparação que não pediu, confirme ligando ao seu operador para o número do contrato ou do respetivo site.
• Não dê a um «técnico» palavras-passe, códigos de utilização única ou dados bancários, e não instale aplicações de acesso remoto a seu pedido.
• Conte com SMS e emails que mencionem uma visita real anterior. Um pormenor verdadeiro não torna a mensagem genuína.