Em 7 de setembro de 2017, a Equifax, empresa americana de informações de crédito, anunciou que criminosos exploraram uma vulnerabilidade numa aplicação web e acessaram dados de cerca de 143 milhões de consumidores nos EUA, como CPF americano (SSN), datas de nascimento e endereços, entre maio e julho.
Em 7 de setembro de 2017, a Equifax, uma das maiores empresas de informações de crédito dos Estados Unidos, anunciou um dos maiores vazamentos de dados pessoais já registrados. Segundo o comunicado da própria empresa, criminosos exploraram uma vulnerabilidade numa aplicação de site nos Estados Unidos e acessaram dados de cerca de 143 milhões de consumidores americanos, incluindo nomes, números de Social Security (o equivalente americano ao CPF), datas de nascimento, endereços e, em alguns casos, números de carteira de motorista. O acesso indevido ocorreu de meados de maio a julho de 2017 e foi descoberto em 29 de julho.
O caso virou referência sobre as consequências de falhas em aplicações web e da demora em comunicar um incidente.
O que foi exposto?
| Tipo de dado | Alcance informado pela Equifax |
|---|---|
| Nomes, números de Social Security, datas de nascimento e endereços | Cerca de 143 milhões de consumidores nos EUA |
| Números de carteira de motorista | Parte desses consumidores |
| Números de cartão de crédito | Cerca de 209 mil consumidores nos EUA |
| Documentos de contestação com dados pessoais | Cerca de 182 mil consumidores nos EUA |
| Dados de residentes do Reino Unido e do Canadá | Informações pessoais limitadas |
A empresa afirmou não ter encontrado evidência de acesso indevido às suas bases centrais de relatórios de crédito de consumidores e empresas. Em 2 de outubro de 2017, segundo o eWeek, a Equifax informou que mais 2,5 milhões de americanos haviam sido afetados.
Como foi a linha do tempo?
- Meados de maio de 2017: início do acesso indevido.
- Até julho de 2017: os invasores mantiveram o acesso por cerca de dois meses.
- 29 de julho de 2017: a Equifax descobriu o acesso e bloqueou a intrusão.
- 7 de setembro de 2017: divulgação pública, mais de um mês depois da descoberta.
O presidente do conselho e CEO, Richard F. Smith, classificou o episódio como "claramente decepcionante" para a empresa e pediu desculpas a consumidores e clientes. Segundo o eWeek, ele disse que a empresa havia feito investimentos significativos em cibersegurança, mas que havia "mais a fazer".
Como a empresa respondeu?
Segundo o eWeek, a Equifax:
- Criou um site para que consumidores verificassem se tinham sido afetados.
- Ofereceu monitoramento de crédito e proteção contra roubo de identidade gratuitos.
- Contratou uma empresa de cibersegurança para investigação forense.
- Passou a trabalhar com as autoridades policiais.
Por que o caso importa para empresas brasileiras?
O vazamento da Equifax aconteceu num momento em que o Brasil ainda debatia sua lei geral de proteção de dados. Em setembro de 2017, no 8º Seminário de Privacidade do CGI.br e NIC.br, especialistas lembravam que o país era um dos poucos sem esse tipo de lei. O caso trouxe lições aplicáveis a qualquer empresa que guarde dados pessoais:
- Aplicações web são porta de entrada: a invasão começou por uma vulnerabilidade numa aplicação exposta à internet.
- Tempo de detecção importa: os invasores ficaram cerca de dois meses no ambiente.
- Comunicação é parte da resposta: a demora em divulgar ampliou as críticas.
- Dados acumulados aumentam o dano: quanto mais dados uma empresa guarda, maior o impacto de um vazamento.
O que isso significa hoje para quem contrata desenvolvimento e segurança?
Ao contratar uma software house, vale exigir gestão de vulnerabilidades nas dependências da aplicação, atualização em prazos definidos e testes de segurança antes de cada versão. Ao contratar uma empresa de cibersegurança, vale verificar a capacidade de monitoramento para detectar invasões rapidamente e a existência de um plano de comunicação de incidentes, alinhado às obrigações legais de proteção de dados.
Fontes
- Equifax, comunicado à SEC (Form 8-K, Exhibit 99.1): Equifax Announces Cybersecurity Incident Involving Consumer Information (7 set. 2017)
- eWeek: Equifax Discloses Massive Data Breach Impacting 143M Americans (set. 2017)
- NIC.br, via lista de anúncios: VIII Seminário de Proteção à Privacidade e aos Dados Pessoais (set. 2017)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O que aconteceu no vazamento da Equifax?
Segundo comunicado de 7 de setembro de 2017, criminosos exploraram uma vulnerabilidade numa aplicação web da Equifax nos EUA e acessaram, entre maio e julho de 2017, dados de cerca de 143 milhões de consumidores americanos, como nomes, números de Social Security, datas de nascimento e endereços.
Quando a Equifax descobriu o vazamento?
A empresa descobriu o acesso indevido em 29 de julho de 2017 e o divulgou publicamente em 7 de setembro de 2017, mais de um mês depois.
Dados de cartão de crédito foram expostos?
Sim. Segundo a Equifax, números de cartão de crédito de cerca de 209 mil consumidores americanos foram acessados, além de documentos de contestação com dados pessoais de cerca de 182 mil.