Rockstar Games fica exposta devido a um incidente num fornecedor de análise de dados

O que aconteceu

A Reuters noticiou que o grupo ShinyHunters afirmou ter obtido registos empresariais da Rockstar Games na sequência de um incidente relacionado com um fornecedor externo de análise de dados. A empresa indicou que o volume de informação afetada era limitado e sem relevância material para a sua operação.

O caso ilustra um padrão cada vez mais comum: o ataque não visa a infraestrutura principal da empresa, mas sim um fornecedor com acesso a parte dos seus dados, a partir do qual é extraída informação que depois é publicamente associada à marca conhecida.

O que ensina sobre fornecedores com acesso a dados

Um fornecedor de análise de dados, marketing ou suporte recebe habitualmente dados de clientes ou do negócio para prestar o seu serviço, mesmo que nunca se ligue diretamente à rede interna. Essa relação alarga a superfície de ataque de uma forma que nem sempre consta dos inventários de segurança tradicionais.

A resposta da Rockstar, ao classificar o impacto como limitado, recorda também que nem toda a menção de uma marca conhecida num incidente equivale a uma violação grave de segurança; convém distinguir as manchetes dos factos verificados.

O que convém rever

Controlos que reduzem o risco associado a fornecedores externos:

• Que fornecedores recebem dados da empresa e com que finalidade exata.
• Se os contratos exigem medidas de segurança e notificação de incidentes em prazos razoáveis.
• Se é revisto periodicamente quais as integrações que continuam ativas e se todas são necessárias.
• Como se verificaria uma alegação pública de roubo de dados antes de reagir publicamente.

Perguntas frequentes

¿Foi confirmado o roubo de dados da Rockstar?

A empresa reconheceu o incidente num fornecedor de análise de dados mas classificou o impacto como limitado e sem relevância material.

¿Porque é que um incidente num fornecedor externo afeta a marca principal?

Porque o fornecedor tratava dados da empresa; ao ser comprometido, a informação exposta é publicamente associada à marca conhecida.

¿Como se reduz este risco?

Limitando os dados que cada fornecedor recebe, exigindo garantias contratuais de segurança e revendo periodicamente as integrações ativas.