Incidentes e Vulnerabilidades
Capital One, Equifax, Log4Shell, Heartbleed, XZ — violações e vulnerabilidades públicas detalhadas em causa, impacto, primeira resposta e prevenção, pelas lições que ainda valem.
Fraude no 7pay (2019): avaliação oficial da causa e proteção de contas
O 7pay sofreu acessos indevidos em julho de 2019. O comunicado de 1º de agosto considerou provável um ataque com listas de credenciais e registrou 808 pessoas e 38,615,473 ienes em 31 de julho, às 17h, incluindo recargas e usos indevidos. N…
Vazamento de dados da Benesse (2014) — por que um insider não pôde ser detido, e a defesa por menor privilégio
Um engenheiro de sistemas terceirizado, alocado em uma empresa do grupo, usou o acesso ao banco de dados legitimamente concedido para copiar dados de clientes em massa, transferi-los para um smartphone pessoal e vendê-los a corretores de da…
Ransomware na Capcom (2020) — por que um dispositivo VPN antigo foi a porta de entrada, e a defesa contra a dupla extorsão
A porta de entrada foi um dispositivo VPN antigo de backup que continuou ligado numa subsidiária norte-americana depois de unidades novas o substituírem. A partir dele a rede foi invadida, os dados foram roubados e então o ransomware cripto…
Roubo de NEM da Coincheck (2018) — como cerca de US$ 530 milhões foram levados e a defesa da gestão de chaves
A porta de entrada foi, segundo relatos, phishing direcionado / malware contra funcionários, que roubou a chave privada de uma carteira quente conectada à internet; cerca de 523 milhões de XEM (~US$ 530 milhões na época) foram então movidos…
Ransomware na KADOKAWA / Niconico (2024) — por que se espalhou por toda a empresa, e segmentação de rede & BCP
A entrada foi descrita como phishing que roubou as credenciais de um funcionário; a partir daí a rede interna foi invadida e o ransomware rodou, derrubando muitos serviços do grupo (incluindo o Niconico) por meses e vazando dados de ~250.00…
Vazamento de dados do Takufile-bin (2019) — por que armazenar senhas em texto puro é fatal, e a defesa do hashing
Uma vulnerabilidade de servidor foi explorada para acesso não autorizado, e ~4,8 milhões de registros (nomes, e-mails, senhas de login, datas de nascimento, incluindo clientes que já haviam cancelado) vazaram. A falha decisiva foi que as se…
Vazamento em massa do MOVEit (2023) — como um zero-day de SQL injection alcançou mais de 2.700 organizações, e como se defender
A entrada foi um zero-day de SQL injection (CVE-2023-34362) no MOVEit Transfer, exposto à internet. Um web shell (LEMURLOOT) foi plantado e dados foram roubados em massa do banco de dados de retaguarda, atingindo mais de 2.700 organizações…
Vazamento da Capital One (2019) — como um SSRF expôs mais de 100M de registros, e como se defender
Um único SSRF alcançou o endpoint de metadados → credenciais IAM temporárias com privilégios excessivos → cópia em massa do S3, vazando cerca de 106M de registros. Cada etapa poderia tê-lo interrompido. No seu ambiente: IMDSv2, IAM de menor…
Vazamento da Codecov (2021) — quando uma ferramenta de CI foi adulterada e segredos vazaram
Uma ferramenta de CI confiável (o Bash Uploader curl|bash) foi alterada na origem. Como o seu próprio código permaneceu intocado, passou despercebido por cerca de 2 meses enquanto segredos de CI vazavam; uma verificação de checksum o pegou.…
Vazamento da Equifax (2017) — como uma falha não corrigida no Apache Struts expôs 147M de pessoas
A causa foi um CVE conhecido e já corrigido (CVSS 10.0) deixado sem aplicar em um sistema público. Um certificado de monitoramento expirado ocultou a exfiltração por 76 dias. No seu ambiente: inventário de ativos, um SLA de patch, monitoram…
Heartbleed (CVE-2014-0160) — um bug do OpenSSL que vazava a memória do servidor
A leitura excessiva de memória do OpenSSL podia vazar chaves privadas e sessões. A causa: o servidor confiava num comprimento alegado e lia a memória adjacente. A lição: aja como se tudo tivesse vazado (reemita certificados, rotacione todos…
Log4Shell (CVE-2021-44228) — uma falha numa biblioteca de logs, e por que as equipes não conseguiam saber rápido se a usavam
O bug CVSS 10.0 do Log4j. O problema central era a dependência transitiva: ser afetado por uma biblioteca que você nem sabia que usava. Um caminho passivo de logs virou vetor de ataque. SBOM, monitoramento por máquina, patch rápido e acompa…
O backdoor do XZ Utils (CVE-2024-3094) — um ataque à cadeia de suprimentos feito por um co-mantenedor confiável
Um mantenedor confiável plantou um backdoor no xz, num ataque à cadeia de suprimentos. Um engenheiro notou que os logins estavam lentos e o encontrou pouco antes das versões estáveis. O alvo não era o código; eram as pessoas e a confiança.…