quinta-feira, 31 de janeiro de 2019

Vale é hackeada e documentos mostram como empresa lida com acidentes


A mineradora multinacional brasileira Vale foi invadida e documentos internos supostamente confidenciais foram retirados e vazados por invasores. Hackers teriam se aproveitado de uma porta aberta em ferramenta de software para colaboração em equipe, para resgatar atas, para extrair ocorrências e incidentes de segurança pelo mundo. Esse tipo de extração é caracterizada como Google Hacking. 

TecMundo recebeu os documentos na terça-feira (29) por uma fonte anônima. São cerca de 40 mil arquivos em uma pasta de 500 MB. Por lá, é possível encontrar incidentes de segurança que aconteceram entre 2017 e 2019 em áreas da Vale no Brasil, Canadá, Moçambique, Nova Caledônia e Indonésia.






"Os documentos internos mostram como a Vale lida e categoriza incidentes que aconteçam com funcionários ou ambientais"




“Um dos documentos relata assalto a mão armada em um duto, e não houve registro de ocorrência policial posterior”, afirmou a fonte no email em que enviou os documentos. O TecMundo encontrou o documento citado em específico, mas não a questão da ocorrência policial citada.

A Vale foi contatada sobre o incidente, contudo, não ofereceu qualquer resposta até o momento da publicação desta matéria — atualização:após a publicação, a companhia enviou uma nota que você confere abaixo.

Do outro lado, os hackers não detalharam como a companhia foi invadida, apenas notaram que os documentos foram extraídos por meio de uma brecha na URL oculta que estava aberta ao público via Microsoft Sharepoint — “Indexação de documentos secretos em um subdomínio oculto, por meio de motores de busca”, notaram.

Os hackers também enviaram uma nota ao TecMundo sobre os motivos da invasão. Acompanhe na íntegra:

 "Quanto vale uma vida? Para a Vale do Rio Doce uma vida é apenas um número, uma cifra, um ponto estatístico, um risco mensurável na reputação da marca. Achamos que teriam aprendido com experiências passadas, mas é simplesmente impossível que percebam valor de uma vida, se eu mato 65 pessoas sou retirado de circulação, se uma empresa do tamanho dela mata, recebem uma multa e continuam operando normalmente. Uma multa! Não é a toa que assim a vida também tenha um preço. Eu e você todos temos um preço nessa tabela, é questão de tempo para sermos os próximos, assim que isso for rentável. Não iremos ficar quietos, lutaremos contra a estupidez com a informação. Quanto vale a vida? A vida vale mais do que a vale".

Posicionamento da Vale

A Vale disse em posicionamento ao TecMundo que "não houve falha técnica no site Sharepoint ou invasão de seu ambiente de TI" e que "as informações contidas nos documentos são registros e tratativas dos incidentes e quase acidentes de segurança. Esse registro é obrigatório na Vale e faz parte do nosso sistema de Gestão de Saúde e Segurança e Meio Ambiente".

A empresa também disse que "os arquivos de uso interno que foram atribuídos a um vazamento, na verdade, estavam disponíveis em área pública do nosso site vale.com". 

O local no site em que os 40 mil arquivos poderiam ser baixados não foi indicado. Além disso, os documentos possuem o aviso mostrado abaixo — documentos estes que, caso estiverem públicos, exibem dados pessoais de funcionários (nome completo, email, cargo na empresa, local de trabalho), o que abre portas para ataques cibercriminosos como o spear phishing e até tentativas de credential stuffing

Veja os arquivos e documentos da Vale que foram hackeados aqui.

Fonte: www.tecmundo.com.br

Nenhum comentário:

Postar um comentário