A agência de viagens online ezTravel publicou um comunicado em 9 de novembro, informando que o sistema detetou proativamente, em 7 de novembro, uma atividade externa anormal de ataque à rede no centro de membros. Após uma investigação interna preliminar, verificou-se que os dados de contacto de alguns pedidos antigos foram obtidos indevidamente, afetando mais de 690 mil pessoas. As informações expostas incluem nomes dos consumidores, endereços de e-mail, números de telefone e dados sobre os produtos encomendados. Em resposta às preocupações do público quanto à segurança financeira, a empresa esclareceu que as transações financeiras são processadas por um gateway de pagamento de terceiros e que, numa avaliação preliminar, o incidente não envolveu números de cartões de crédito nem palavras-passe de acesso dos membros. A ezTravel notificou as autoridades competentes dentro do prazo legal e ativou mecanismos de resposta e alertas antifraude.
Dados de contacto de encomendas antigas expostos; mais de 690 mil pessoas afetadas
A ezTravel informou que, após a equipa de segurança da informação detetar, em 7 de novembro, um ataque externo à rede do centro de membros, iniciou imediatamente medidas de defesa e contenção. Segundo a agência Central News Agency, a investigação revelou que os dados intercetados eram sobretudo campos de contacto de encomendas antigas, incluindo nomes, números de telefone, endereços de e-mail e itinerários adquiridos. No total, mais de 690 mil consumidores foram afetados. A empresa afirmou que notificou as autoridades competentes dentro do prazo legal, em conformidade com a Lei de Proteção de Dados Pessoais, e que alertou os utilizadores afetados, por SMS e e-mail, para reforçarem a sua atenção a possíveis fraudes.
ezTravel salienta que os cartões de crédito e as palavras-passe dos clientes não foram afetados
Quanto aos pagamentos e à autenticação de informações confidenciais, a ezTravel explicou que as transações com cartão feitas online na plataforma são processadas por um prestador de pagamentos externo, em conformidade com as normas, e que os servidores não armazenam os dados completos e sensíveis dos cartões de crédito. Os resultados preliminares da perícia digital (Digital Forensics) confirmaram que os principais elementos de segurança da conta — incluindo o número do cartão de crédito, os últimos três dígitos do código de autorização e a palavra-passe de início de sessão dos membros — não foram abrangidos pela fuga de dados. Os sistemas de transação e as funcionalidades de pagamento continuam a funcionar normalmente.
ezTravel bloqueou o tráfego anómalo e iniciou os procedimentos de perícia digital
Para prevenir futuras falhas de segurança, a ezTravel contratou uma equipa externa especializada em segurança da informação para ajudar na investigação do incidente e na perícia digital. A empresa também iniciou uma revisão abrangente das permissões internas, reforçando a análise dos controlos de acesso às bases de dados, das firewalls dos sistemas de aplicações e dos mecanismos de monitorização do tráfego anómalo, a fim de evitar uma segunda intrusão e determinar a origem e o percurso do ataque.
Os consumidores devem precaver-se contra o risco de fraude por engenharia social
A exposição de detalhes de encomendas antigas pode implicar o risco de fraudes por engenharia social (Social Engineering). Os criminosos costumam usar registos de compras precisos para se fazerem passar por funcionários do serviço de apoio ao cliente ou de instituições financeiras e induzir os consumidores a operar caixas automáticas (ATM) ou a fornecer palavras-passe dinâmicas de utilização única (OTP). A ezTravel alerta que as mensagens de contacto oficiais nunca incluem ligações externas. Se receber uma comunicação a pedir que altere uma cobrança ou confirme uma conta, verifique-a através da linha oficial de apoio ao cliente da ezTravel, 412-8001 (em telemóveis, acrescente o indicativo 02), ou ligue para a linha antifraude 165.
Este artigo, «A ezTravel foi alvo de um ataque de hackers; dados de mais de 690 mil encomendas foram expostos», foi publicado originalmente em 。
【Análise adicional】
【A minha análise adicional】
O incidente da ezTravel revela os riscos potenciais na gestão de dados históricos por parte das plataformas de turismo online (OTA). Embora os dados de cartões de crédito e as palavras-passe não tenham sido diretamente expostos, informações pessoais precisas, como nomes, itinerários e contactos, já constituem material de alto risco para ataques de engenharia social. Isto demonstra que as empresas não devem preocupar-se apenas com a conformidade dos canais de pagamento: também precisam de aplicar uma arquitetura de «confiança zero» (Zero Trust) aos dados históricos e encriptar os dados em repouso, evitando que a conservação prolongada de dados sensíveis os transforme em alvos de hackers.
【Impacto no mercado】
- **Mercado de ações de Taiwan**: O impacto de curto prazo nas ações relacionadas com o turismo e as plataformas online poderá ser negativo, uma vez que a perda de confiança dos consumidores poderá reduzir ligeiramente o volume de encomendas. Por outro lado, o impacto nas ações de empresas de segurança da informação e integração de sistemas (como a AnGIT e a Zero One) poderá ser positivo, dado que se prevê um aumento da procura por correção de vulnerabilidades e serviços de perícia digital.
- **Mercado de ações dos EUA**: O impacto nas áreas de segurança na nuvem e perícia digital (como CrowdStrike e Palo Alto Networks) poderá ser positivo. A frequência crescente de incidentes de segurança da informação em todo o mundo continua a reforçar a resiliência dos orçamentos de segurança das empresas face a uma recessão.
- **Mercado das criptomoedas**: O impacto global deverá ser neutro. No entanto, é preciso ter em conta que os criminosos podem usar os dados precisos expostos para lançar ataques de phishing direcionados contra vítimas específicas e tentar roubar criptoativos.
【O que acompanhar a seguir】
Se as autoridades reguladoras aplicarem sanções administrativas às empresas envolvidas ao abrigo da Lei de Proteção de Dados Pessoais, o mercado poderá reavaliar os custos de conformidade do comércio a retalho online. Além disso, os resultados finais do relatório de perícia de terceiros e o investimento subsequente da empresa na melhoria da segurança da informação determinarão o tempo necessário para recuperar a reputação da marca.
【Aviso de risco】
Os investidores devem estar atentos aos potenciais riscos de conformidade legal e de perda de clientes das empresas que operam plataformas. Os consumidores, por sua vez, devem precaver-se contra novas fraudes de engenharia social por parte de impostores que se fazem passar pelo apoio ao cliente da plataforma ou por instituições financeiras. Não confie em comunicações que peçam uma transferência de dinheiro ou o fornecimento de códigos de verificação.