Um vazamento de dados na gigante de empréstimos baseada em blockchain, Figure, afetou aproximadamente 967,2 mil clientes, segundo análise de um pesquisador de segurança. A empresa havia confirmado na semana passada que hackers roubaram "um número limitado de arquivos" de seus sistemas, sem detalhar a extensão do ataque.
O grupo de cibercrime ShinyHunters reivindicou a autoria do ataque cibernético e publicou 2,5 gigabytes de dados supostamente roubados da Figure em seu site de vazamentos. A prática é comum quando as empresas vítimas não aceitam pagar resgates exigidos pelos criminosos.
Escopo do vazamento
Na quarta-feira, o pesquisador de segurança Troy Hunt, criador do site de notificação de violações de dados Have I Been Pwned, analisou as informações supostamente extraídas da Figure. A análise revelou que o conjunto de dados continha 967.200 endereços de e-mail únicos associados a clientes da fintech.
Além dos e-mails, as informações expostas incluíam nomes completos dos clientes, datas de nascimento, endereços físicos e números de telefone. A Figure não respondeu a um pedido de comentário da imprensa para confirmar ou contestar as descobertas de Hunt.
Resposta da empresa e contexto
A confirmação inicial da violação pela Figure foi genérica, afirmando que "um número limitado de arquivos" havia sido comprometido. A empresa não divulgou quais tipos de dados dos clientes foram afetados nem quantas pessoas foram impactadas, deixando a avaliação do estrago para pesquisadores externos.
O modus operandi do ShinyHunters segue um padrão conhecido: o grupo invade sistemas, rouba dados e tenta extorquir as empresas. Caso não receba o pagamento, os dados são publicados em fóruns na dark web, como ocorreu neste caso.
Próximos passos para os afetados
Especialistas em segurança digital recomendam que clientes da Figure que possam ter sido afetados fiquem alertas para tentativas de phishing ou golpes que utilizem as informações vazadas. A troca de senhas em outros serviços, especialmente se utilizarem o mesmo e-mail comprometido, também é aconselhada.
A Figure, até o momento, não emitiu um comunicado detalhado aos clientes sobre o incidente nem informou as medidas que está tomando para mitigar os danos e reforçar a segurança de seus sistemas.