Wynn Resorts confirma o roubo de dados de colaboradores

O que aconteceu

A Wynn Resorts confirmou que um terceiro não autorizado tinha obtido dados dos seus colaboradores. A empresa iniciou uma investigação com especialistas externos e indicou que o incidente não afetou a experiência dos clientes nem as operações físicas dos seus estabelecimentos.

O caso insere-se numa tendência recorrente nos incidentes de segurança: os sistemas de RH e de gestão interna, que recebem menos atenção mediática do que as plataformas destinadas aos clientes, contêm dados igualmente sensíveis.

O que ensina a uma empresa de média dimensão

Os dados dos colaboradores —recibos de vencimento, contratos, documentos de identificação, dados bancários— são muito úteis para fraude, usurpação de identidade e ataques posteriores como o phishing direcionado. Um atacante com essa informação pode fazer-se passar por um colega ou pelos RH de forma credível.

Muitas organizações concentram os esforços de segurança nos sistemas destinados aos clientes e descuram as plataformas internas de RH, processamento salarial ou gestão documental, que frequentemente têm controlos de acesso menos rigorosos.

O que convém rever

Verificações aplicáveis a qualquer sistema de RH ou gestão de pessoal:

• Quem tem acesso aos dados dos colaboradores e se esse acesso está limitado ao estritamente necessário.
• Se o fornecedor de processamento salarial ou de recursos humanos exige autenticação de dois fatores.
• Como e durante quanto tempo são conservados os dados de antigos colaboradores.
• Se existe um plano de comunicação aos colaboradores caso os seus dados sejam comprometidos.

Perguntas frequentes

¿O incidente afetou os clientes da Wynn Resorts?

Segundo a empresa, não. O impacto limitou-se aos dados dos colaboradores e não afetou a experiência dos clientes nem as operações físicas.

¿Porque são os dados dos colaboradores valiosos para um atacante?

Porque permitem cometer fraudes, usurpar identidades e realizar ataques de phishing direcionado com aparência de legitimidade.

¿Que controlo tem maior impacto na proteção destes sistemas?

Exigir autenticação de dois fatores e limitar o acesso aos dados de recursos humanos a quem realmente precisa deles.