Crunchyroll investiga uma alegação de roubo massivo de dados

O que aconteceu

A Reuters noticiou que um grupo de atacantes afirmava ter obtido dados pessoais e registos de suporte da Crunchyroll, plataforma de streaming de anime propriedade da Sony. A empresa confirmou que estava a investigar a alegação, embora parte da dimensão divulgada se baseasse nas próprias afirmações dos atacantes, algo que convém tratar com cautela até à sua verificação.

Os sistemas de apoio ao cliente costumam acumular conversas, capturas de ecrã e dados de contacto que nem sempre recebem o mesmo nível de proteção que as bases de dados principais, o que os torna um alvo atrativo para quem procura informação reutilizável em fraudes posteriores.

O que ensina a uma empresa com apoio ao cliente

Quando o ataque não é totalmente confirmado, a dúvida razoável não dispensa uma reação: rever os acessos ao sistema de tickets, alterar as credenciais dos agentes de apoio e verificar os registos de exportações em massa são medidas que não dependem de a alegação ser confirmada a cem por cento.

O caso recorda também que um incidente num serviço de terceiros, como o software de tickets, pode expor dados de uma empresa mesmo que a sua própria infraestrutura nunca tenha sido comprometida.

O que convém rever

Medidas que limitam os danos se o sistema de apoio for comprometido:

• Que dados pessoais ficam armazenados no histórico de conversas de apoio e durante quanto tempo.
• Quem pode exportar dados em massa a partir da ferramenta de tickets e se essa ação fica registada.
• Se os agentes de apoio utilizam autenticação de dois fatores e palavras-passe diferentes das utilizadas noutros sistemas internos.
• Como seria comunicada aos clientes uma eventual confirmação de exposição de dados.

Perguntas frequentes

¿Foi confirmado o roubo de dados?

A Crunchyroll afirmou estar a investigar a alegação; parte da informação conhecida provinha das declarações dos próprios atacantes.

¿Porque é sensível um sistema de apoio ao cliente?

Porque acumula dados de contacto e conversas que podem ser utilizados para preparar fraudes ou campanhas de phishing direcionadas.

¿É preciso esperar pela confirmação para agir?

Não. Rever os acessos e as credenciais do sistema de apoio é uma medida razoável assim que surge uma alegação credível.