51 min
Fraudology
Vazamento nacional de dados públicos: 2,9 bilhões de números da Previdência Social foram expostos?
Hoje estamos falando sobre uma daquelas manchetes que fizeram muitas pessoas parar de rolar a tela.
“2,9 bilhões de números da Previdência Social expostos.”
Se você visse essa manchete, sua primeira reação provavelmente seria algo como… espera, o quê?
Porque esse número é enorme.
E quando as manchetes começam a falar em números como bilhões de registros da Previdência Social, isso imediatamente levanta preocupações sobre roubo de identidade, privacidade de dados e o impacto potencial em fraudes.
Então, neste episódio, eu quis desacelerar um pouco e explicar o que realmente aconteceu com o vazamento de dados da National Public Data.
Porque, quando você aprofunda nos relatórios e análises de pesquisadores como Brian Krebs e Troy Hunt, a história parece um pouco diferente do que as manchetes iniciais sugeriam.
Certo.
Esta violação continua sendo grave. Mas a forma como os dados foram descritos publicamente gerou alguma confusão sobre a real dimensão do problema.
Veja como a violação nacional de dados públicos se manifesta na prática:
- Bancos de dados de corretores de dados contendo enormes quantidades de informações pessoais
- Registos agregados que podem incluir entradas duplicadas para as mesmas pessoas
- Falhas de segurança que expõem informações de identificação pessoal
- Manchetes que às vezes exageram a dimensão da exposição de dados únicos
O que você vai ouvir neste episódio:
- Por que a manchete sobre 2,9 bilhões de registros gerou confusão
- Como o ataque à National Public Data na verdade expôs conjuntos de dados agregados
- Por que o número de números de Seguro Social únicos expostos parece menor
- O que a análise de violação de dados de Brian Krebs revelou sobre o incidente
- Por que as falhas de segurança de corretores de dados criam riscos de fraude a longo prazo
Você deve ouvir este episódio se você:
- Acompanhe grandes vazamentos de dados e tendências de fraude
- Preocupar-se com a privacidade de dados e a prevenção de fraudes
- Quer entender os riscos de violações envolvendo corretores de dados
- Trabalham na prevenção de roubo de identidade ou em investigações de fraude
- Quer entender melhor a diferença entre as manchetes sobre violações e a realidade
Se você gostou deste episódio, não deixe de assinar e avaliar o podcast no iTunes, Spotify, YouTube ou em qualquer plataforma onde você ouça podcasts. Isso realmente ajuda a divulgar.
Notas do episódio e principais aprendizados
Por que a manchete sobre 2,9 bilhões de números da Previdência Social era enganosa
Vamos analisar isso.
Quando a violação começou a ganhar manchetes, muitos relatos afirmaram que quase 2,9 bilhões de números de Seguridade Social haviam sido expostos.
Isso parece catastrófico.
Mas, quando os pesquisadores começaram a examinar o conjunto de dados, ficou claro que o número informado se referia ao total de registros, não a indivíduos únicos.
E essa distinção é importante.
Os bancos de dados de corretores de dados geralmente contêm vários registros para a mesma pessoa, coletados de diferentes fontes. Um único indivíduo pode aparecer várias vezes, com variações de endereços, números de telefone ou informações históricas.
Portanto, embora o conjunto de dados possa conter bilhões de linhas de dados, o número de números de Seguro Social únicos expostos provavelmente é muito menor.
- 2,9 bilhões de registros expostos não equivalem a 2,9 bilhões de indivíduos
- A diferença entre a manchete da violação e a realidade muitas vezes depende de como os conjuntos de dados são contabilizados
- A exposição única de Números de Seguridade Social (SSN) parece ser menor do que os relatórios iniciais sugeriam
- A exposição em grande escala de dados de identidade ainda gera riscos reais de fraude
Como ocorreu a violação do nationalpublicdata.com
Veja o que realmente está acontecendo nos bastidores.
A National Public Data é uma corretora de dados que coleta e agrega informações pessoais de várias fontes. Essas empresas reúnem grandes bases de dados contendo nomes, endereços, datas de nascimento e, em alguns casos, números de Seguro Social.
A violação expôs uma grande parte desses dados agregados.
Mas o incidente também revelou outra coisa que chamou a atenção da comunidade de segurança.
Segurança operacional fraca.
Os investigadores encontraram exemplos de práticas inadequadas de senha e outros problemas de segurança que indicam que as proteções do corretor de dados estavam longe de ser robustas.
- Ataque à National Public Data expôs registros pessoais agregados
- Falhas de segurança de corretores de dados contribuíram para a violação
- A exposição de senhas em corretores de dados revelou controles fracos
- O manuseio inadequado de dados sensíveis aumenta os riscos de fraude
Por que as violações em corretores de dados geram riscos de fraude de longo prazo
Mesmo que o número de números de Seguro Social únicos expostos seja menor do que as manchetes iniciais sugeriram, a violação ainda é importante.
Muito.
Porque os conjuntos de dados de corretores de dados contêm informações pessoais extremamente detalhadas. Nomes, endereços, números de telefone, registros históricos e atributos de identidade.
Esse tipo de informação se torna extremamente valioso para criminosos.
Ele pode ser usado para roubo de identidade, engenharia social, tentativas de tomada de controle de contas e fraude de identidade sintética.
E, uma vez que esses dados se espalham por fóruns criminosos, podem permanecer disponíveis por anos.
- Os riscos de violações em corretores de dados se estendem muito além do incidente inicial
- A exposição de informações de identificação pessoal alimenta a fraude de identidade
- O risco de roubo de identidade do consumidor aumenta quando os dados pessoais se espalham online
- O impacto de uma violação na prevenção de fraudes se prolonga ao longo do tempo
Por que a regulamentação e a transparência dos corretores de dados são importantes
Uma das questões mais amplas levantadas pela violação nacional de dados públicos é como os corretores de dados coletam e armazenam informações pessoais em primeiro lugar.
A maioria dos consumidores nunca ouviu falar de muitas dessas empresas.
Ainda assim, essas empresas podem manter registros pessoais detalhados sobre milhões de pessoas.
Certo.
E incidentes como este levantam questões importantes sobre privacidade de dados, transparência e responsabilização quando informações sensíveis de identidade são coletadas e armazenadas em larga escala.
- A privacidade de dados e a prevenção de fraudes dependem do tratamento responsável das informações.
- Os riscos de fraude de corretores de dados aumentam quando a supervisão é limitada
- O manuseio inadequado de dados sensíveis cria risco sistêmico
- Proteja-se após uma violação de dados por meio de monitoramento e conscientização
A principal conclusão deste episódio é que a violação nacional de dados públicos continua sendo grave, mesmo que os números divulgados tenham sido mal interpretados.
A exposição de bilhões de registros não é o mesmo que o comprometimento de bilhões de identidades únicas.
Mas grandes conjuntos de dados com informações pessoais circulando online ainda criam riscos de longo prazo de fraude e roubo de identidade.
E isso é algo ao qual profissionais de combate à fraude, empresas e consumidores definitivamente deveriam estar atentos.
