Hackers roubam dados sigilosos da Unick Forex e cobram 4 Bitcoins para tirar do ar

A Unick Forex foi hackeada e os dados de 36 mil clientes vazaram na rede. Os hackers da BGV Team criaram um site para expor as informações. O domínio atualmente encontra-se fora do ar, mas já foi re-upado em novo endereço.

O Portal do Bitcoin entrou em contato com os hackers, pelo e-mail divulgado no site. Eles afirmam que há dados de mais de 100 mil clientes, os quais serão expostos caso a empresa não pague os 4 bitcoins que estão sendo pedidos.

O grupo afirma, por meio desse novo site, que criou “uma estrutura mais sofisticada para apresentar os conteúdos” uma vez que teve uma quantidade gigantesca de acesso nos últimos dias, motivo pelo qual o primeiro site saiu do ar.

O problema com os dados vazados é que, independentemente do tempo que fique no ar, um número incalculável de pessoas terá acesso a isso e, futuramente, pode se utilizar deles acarretando prejuízo para esses clientes.

O Portal do Bitcoin não divulgará os endereços e nem a lista vazada em respeito às vítimas do vazamento.

Unick vulnerável

Um dos hackers da BGV, que não se identificou, apresentou
provas de que está com os dados de acesso do antigo e-mail — webmaster.not.answer@gmail.com — que
era usado para enviar a nova senha e a senha financeira quando alguém
requisitava.

O grupo divulgou os dados de 36 mil clientes, inicialmente, mas eles prometeram divulgar dos demais clientes caso a Unick Forex não pague a eles 4 bitcoins, o que ainda não aconteceu pois a carteira anunciada para o depósito de bitcoins ainda se encontra vazia.

“O prazo não tem uma data de expiração, não por enquanto, pelo menos. Pois colocamos duas “modalidades”. Se alguém quiser depositar os 4BTC (Não nos importa se é a Unick ou não), retiraremos os arquivos do ar e excluiremos o que temos, caso alguém queira retirar seus dados pessoais, também pode fazer o pagamento do valor simbólico e este valor será somado para ‘bater a meta’ de 4BTC.”

O grupo BGV afirma que entrou em contato com a empresa,
por meio do suporte deles e via e-mail, mas não tem obtido resposta.

“Temos os contatos pessoais de cada
funcionário/chefia, mas estamos tentando ter algum canal de comunicação via
ticket do suporte deles e via email. Por enquanto eles estão apenas não
respondendo, mesmo tendo visualizado”.

Sistema fraco

De acordo com o invasor, o sistema da Unick Forex não
tinha um bom nível de segurança, “muitos utilizam senhas fracas como
1234,123456” e isso facilitou muito o hackeamento.

“foi um dos serviços mais fáceis que tivemos, não vou
entrar em detalhes sobre a vulnerabilidade, mas foi algo bem simples. Qualquer
um que tenha o mínimo de conhecimento sobre Segurança Web e criatividade teria conseguido”,
afirma.

Segundo o grupo, a segurança estaria sendo feita pelo próprio Israel (Nogueira)— diretor do departamento de tecnologia e comunicação — que tentava blindar o sistema. “A empresa ‘top 1’ que eles citam não existe”, afirma.

Os hackers da BGV ainda desmentiram a história contada pelos diretores de que a empresa tem sido vítima de milhões de ataques hackers e revelou que há quatro meses vem coletando esses dados.

“Eles citam que recebem milhões de ataques por dia. Bom,
estamos no sistema deles a cerca de 4 meses, coletando dados e estávamos
acompanhando os logs, eles não eram alvo de ninguém”.

Palavra do especialista

Em face desse problema, a reportagem conversou com o Leandro Trindade, Consultor de Segurança da Informação na X-15 Tech. Ele afirma que o vazamento é real e que pelo nível de informação, o pessoal da BGV, só pode ter conseguido a senha do administrador e suporte.

Trindade disse:

“Guardar as senhas em plaintext (texto sem criptografia) é de uma irresponsabilidade tremenda e deveria ser punível criminalmente. Sabemos que mesmo sendo contra-indicado os usuários reusam senhas em diversas plataformas e esse vazamento ainda irá causar danos colaterais aos clientes”.

Os possíveis danos que Trindade se refere é a comercialização dos dados na Deep Web. Com US$ 5 se compra uma documentação de outra pessoa no mercado negro.

Com essa documentação em mãos, o criminoso pode abrir
uma conta numa corretora em nome daquele que teve seus dados vazados e assim
lavar dinheiro. Sem contar que é possível abrir contas e até fazer
cartão de crédito no nome delas.

Trindade, contudo, disse que nem todos os dados estão completos pois a pessoa não concluiu seu cadastro na empresa. Dos 36 mil dados — que já foram vazados— apenas 3.600 é que estão completos. Ainda assim, a venda desses dados na Deep Web poderia dar em torno de 150 mil dólares para o hacker que comercializá-los, conforme explica Trindade.

Dever de indenizar

Daniel Becker, advogado do escritório Lima Feigelson, afirma que a empresa tem de adotar todas as medidas de segurança possíveis e recomendáveis para melhor proteger os dados de seus clientes.

“Uma vez que ela requer esses dados para execução de
algum contrato, pela teoria do risco, ela que vai ser responsável por guardar
esses dados e manter eles seguros”.

Becker disse que o vazamento de dados traz para a
empresa a responsabilidade em indenizar o cliente por qualquer dano sofrido,
inclusive o moral que se presume pelo próprio vazamento.

O advogado afirma que apesar de ser “quase impossível
se evitar um ataque cibernético na medida em que a tecnologia evolui”, a
empresa tem de provar que usou das melhores práticas de cibersegurança.

“De forma preventiva é importante que uma empresa
tenha uma política de cibersegurança e um plano de resposta incidente. Após a ocorrência
do incidente, deve ser avaliado qual foi a brecha, mapear os dados que foram
vazados para comunicar aos titulares sobre o vazamento, além de resolver esse
problema de segurança para que não ocorram novos casos”.

Proteção legal

Apesar de não haver uma autoridade nacional de
proteção de dados e a Lei Geral de Proteção de Dados só passe a vigorar em
agosto de 2020, Becker afirma que o ordenamento jurídico brasileiro já tem
respostas para esse tipo de problema.

“A Constituição da República, o Código de Defesa do
Consumidor e o Marco Civil da Internet possuem diversas previsões que asseguram
o direito aos titulares dos dados, para que eles sejam usados com respeito”.

Para o advogado Filipe Porto, do escritório Pereira, Porto
e Penedo, poderia até haver uma excludente de ilicitude (o que afastaria a
responsabilidade civil em reparar o dano), mas para isso a empresa teria de
provar que a invasão era inevitável.

“Se a empresa conseguir comprovar que independente de
seus esforços, o hacker conseguiria entrar de todo modo, ela poderia tentar a
excludente de ilicitude. Mas cabe ao detentor das informações (a empresa) comprovar
que tinha a última geração de proteção”.

Ataques semelhantes

Essa não é a primeira empresa a experimentar uma invasão em seus sistemas. O caso mais recente foi o da Exchange Coinmama. Há menos de um mês, a corretora de criptomoedas foi hackeada e 450 mil usuários foram afetados.

Antes disso, em agosto de 2018, a plataforma Atlas Quantum teve lista de de 264 mil clientes divulgada. Entre os nomes mais conhecidos estavam o do Rocelo Lopes, Ceo da Stratum; e do jornalista Leandro Narloch, colunista da Folha e autor de alguns dos livros da série Guia do Politicamente Incorreto.

Em agosto de 2018, Leandro Trindade, em um dos artigos escritos para o Portal do Bitcoin, trouxe dicas para o usuário se proteger ao máximo caso ocorra um tipo de problema semelhante. Uma das dicas apontadas por Trindade é não ter a mesma senha para tudo.

A reportagem entrou em contato com Fernando Lusvarghi, diretor jurídico da empresa, mas não obteve resposta até o fechamento dessa matéria.

• Leia também: Unick Forex acusa a imprensa de espalhar notícias falsas
• Duas cripmoedas valorizaram mais de 100% nas últimas horas
• Bitcoin e Criptomoedas são aceitos em mais de 20 lojas em shopping de Florianópolis

O post Hackers roubam dados sigilosos da Unick Forex e cobram 4 Bitcoins para tirar do ar apareceu primeiro em Portal do Bitcoin.