Vazamento de dados nos EUA afeta 250 milhões

Há menos de 10 dias, a Epsilon era uma firma de email marketing pouco conhecida, um mero provedor de serviços no setor de marketing online. Nesta semana, a empresa é o foco de um gigantesco escândalo de vazamento de dados privados, onde hackers tiveram acesso a nomes, endereços e outras informações de milhões de consumidores nos EUA. Entre os clientes da Epsilon estão bancos, financeiras e algumas das maiores redes de varejo dos Estados Unidos.
Entre os afetados, estão clientes do Citibank, Chase, Capital One, American Express, Walgreens, Target, Best Buy, TiVo, TD Ameritrade, Verizon, e Ritz Carlton. As empresas estão tentando medidas extremas para alertar seus consumidores sobre o problema, o que não é uma coisa fácil -- desde que a imprensa anunciou o vazamento, qualquer email vindo dessas empresas passou a ser considerado como suspeito pelos clientes.
A rede de drogarias Walgreens é um nome amplamente conhecido na América do Norte, mas pouco se sabia sobre a Epsilon e seus sistemas de dados de clientes. Na verdade, a Epsilon é uma empresa muito procurada nos EUA para terceirização de serviços de marketing por email. Além de oferecer serviços de gerenciamento de bancos de dados e email marketing, a Epsilon monitora redes sociais e outros sites para captar opiniões sobre as empresas,  oferecer indicações de mercados potenciais e desenvolver programas de fidelidade.
No final da semana passada, a Epsilon divulgou um comunicado pedindo desculpas pelo incidente, mas informou apenas que os nomes e endereços de email de "uma parte" de seus 2.5000 clientes foram invadidos pelos hackers. O ataque foi detectado no dia 30 de março. Ainda não se sabe ao certo quantos clientes da Epsilon foram afetados, e qual o número total de consumidores desses clientes. Segundo informa o site especializado em vazamentos de dados Databreaches.net, o número de empresas afetadas passa de 100 (veja a lista completa aqui).
A Epsilon disse que está trabalhando em conjunto com as autoridades federais dos EUA na investigação do caso, e que reforçou os protocolos de segurança que controlam o acesso aos seus sistemas.
No começo de abril, a empresa Return Path, que é parceira da Epsilon e fornece serviços de monitoramento de email, informou que no ano passado milhares de endereços de email haviam sido furtados em um grande ataque de "phishing" direcionado a várias empresas de email marketing, Não está claro ainda se a Epsilon estava entre as vítimas desse ataque em 2010, nem se o ataque é relacionado com a atual invasão. Mas esse anúncio pode indicar que esta não é a primeira tentativa de invadir os dados privados mantidos pela Epsilon.
O ataque ao banco de dados da Epsilon não é o primeiro do gênero,e pode nem ser o maior da história. A questão aqui é que um número crescente de consumidores confia em sistemas online para gerenciar seus dados privados, com informações muito sensíveis que incluem nomes, endereços, números de documentos, dados de contas de débito e crédito.
Essa rápida expansão da base de clientes online é motivada pela multiplicação de plataformas de acesso ao mundo virtual. Há poucos anos, as pessoas usavam apenas computadores de mesa e notebooks. Hoje, existem milhões de acessos via smartphones, PDAs e tablets, o que multiplica as oportunidades para golpes eletrônicos.
Os consumidores estão indefesos diante desse tipo de ameaça, porque confiaram na existência de mecanismos de proteção criados pelas empresas e fiscalizados pelas autoridades. Em um caso escandaloso como esse, esses usuários descobrem que não há proteção alguma: as empresas se preocuparam apenas com seus lucros, e os governos faltaram com a obrigação essencial de zelar pela segurança dos cidadãos -- mas os impostos foram cobrados pontualmente.
O comércio digital tem necessidade urgente de regras próprias. Até quando os consumidores vão esperar?

Varejo é alvo prioritário de crimes digitais

Segundo um novo estudo realizado pela Verizon com dados do Serviço Secreto dos EUA, o varejo está entre os três maiores alvos dos crimes cibernéticos, ficando atrás apenas do setor financeiro e da área de hotelaria.
O estudo, chamado "2010 Verizon Data Breach Investigations Report" (o PDF gratuito pode ser baixado aqui), oferece um quadro bastante amplo da natureza e das causas do cibercrime em vários países do mundo. O estudo destaca a participação de funcionários das empresas, a chamada "engenharia social" e a participação cada vez maior do crime organizado nesse tipo de delito. Porém, em termos gerais, o número de crimes com dados eletrônicos caiu em 2009, em comparação com o ano anterior.
O varejo está entre os três setores mais afetados pelo furto e vazamento de dados sigilosos (informações privadas de consumidores, como documentos e números de cartões de crédito), representando 15% do total de crimes. O setor financeiro lidera com 33% dos casos, seguido pela área de hospitalidade e hotelaria (23%).
A inclusão de dados do Serviço Secreto do governo americano, que investiga crimes financeiros, permitiu que o estudo incluísse e comparasse dados sobre crimes eletrônicos ocorridos nos últimos seis anos. O estudo inclui mais de 900 ocorrências, que causaram quase 1 milhão de dados sigilosos furtados.

Entre as principais conclusões do estudo estão:
* A grande maioria dos vazamentos de dados (69%) foi comandada por fontes externas, enquanto apenas 11% incluem a participação de parceiros comerciais.
* Quase metade dos crimes (49%) foram causados por agentes internos, um crescimento significativo que o estudo atribui à inclusão de dados do Serviço Secreto.
* 48% dos vazamentos foram atribuídos a usuários que abusaram de seu acesso privilegiado aos dados empresariais, com intenções criminosas. Outros 40% dos casos tiveram a participação de hackers, enquanto 28% foram causados pela manipulação de contatos sociais e 14% resultaram de ataques físicos aos computadores de empresas.
* Como em anos anterior, quase todos os casos de 2009 indicam o furto através de servidores e aplicativos online, e 85% dos casos foram considerados "de baixa dificuldade" pela pesquisa.
* Um dado importante é que 79% das vítimas não adotavam o padrão de encriptação PCI-PSS, considerado o mais eficiente para a proteção de dados privados.
A queda do número total de casos em 2009 em comparação a 2008 é atribuída a uma série de fatores, incluindo a maior eficiência das políticas de segurança, tanto públicas como privadas. O estudo não detectou nenhuma correlação entre o tamanho de uma empresa e seu risco de sofrer um ataque cibernético. Segundo os pesquisadores da Verizon, os criminosos geralmente escolhem seus alvos em função do possível valor do furto e do custo do delito, sem dar grande importância para características como tamanho e localização da vítima.

EUA: 71% dos varejistas não vêem proteção de dados com prioridade

Segundo nota da Retail Information Systems, as empresas de varejo dos EUA ainda não sabem lidar com a segurança de dados comerciais, colocando seus clientes em risco. De acordo com uma recente pesquisa das firmas Imperva e Ponemon Institute, 71% das empresas consultadas admitem que não consideram a segurança de dados comerciais como uma alta prioriedade na empresa, e 55% dizem que só se preocupam em proteger os números de cartões de crédito, e não dados críticos como números de segurança social, carteira de motorista e detalhes de contas bancárias.

7-Eleven ajudou nas investigações do furto de 130 milhões de cartões nos EUA

Segundo nota da Convenience Store Decisions, a rede de lojas de conveniência 7-Eleven colaborou desde 2007 com a polícia, nas investigações que levaram a descoberta do maior esquema de furto de dados de cartões de crédito e débito da história dos EUA -- mais de 130 milhões de contas foram furtadas por Albert Gonzales.
Na rede 7-Eleven, Gonzales e seus parceiros de origem russa são acusados de roubar dados dos caixas automáticos instalados nas lojas. Esses caixas são operados pela empresa Heartland Payment Systems, e estão presentes em várias redes dos EUA.
A rede declarou que colaborou com as autoridades de New Jersey na investigação dos furtos de dados desde o final de 2007. Informou ainda que apenas alguns caixas automáticos foram afetados pelo esquema criminoso, e que ações foram tomadas imediatamente para conter a falha de segurança.