Ataques en Brasil exponen a 7,6 millones de asegurados de la Caixa y claves Pix

Atacantes copiaron los nombres y el número de CPFCadastro de Pessoas Físicas, el número de registro fiscal que identifica a cada persona en Brasil. Se pide para abrir cuentas, cobrar sueldos y hacer casi cualquier trámite. de los 7,6 millones de clientes activos de Caixa Vida e Previdência, la aseguradora del grupo del banco público Caixa Econômica Federal. La empresa no dijo cuántos ex clientes más quedaron expuestos, así que el total puede ser mayor.

En la misma semana, la Secretaría del Tesoro Nacional de Brasil admitió un acceso indebido a unos 30.000 registros de su portal de trámites y a unas 4.000 claves PixIdentificador que se asocia a una cuenta para recibir pagos por Pix, el sistema de pagos instantáneos del Banco Central de Brasil. Puede ser el CPF, el teléfono, el correo o un código aleatorio. de personas que cobran pagos del gobierno federal. El viernes 13 todavía tenía sistemas apagados.

Una base entera y sin culpable

Caixa Seguridade, la sociedad que agrupa los seguros de la Caixa, lo informó en un comunicado al mercado del jueves 12 de noviembre, subido a su sitio para inversores a las 12:11 UTC (9:11 en Brasilia y Buenos Aires, 7:11 en Bogotá y Lima, 6:11 en Ciudad de México). Según el texto, la aseguradora detectó el 6 de noviembre que alguien había entrado sin autorización y copiado datos personales fuera de sus sistemas. Además del nombre y el CPF, parte de los registros tenía dirección, teléfono, correo y fecha de nacimiento.

"Con base en la investigación preliminar, no hay indicios de que se hayan comprometido datos financieros o de autenticaciónProceso con el que un sistema comprueba que una persona es quien dice ser antes de dejarla entrar, por ejemplo con una contraseña, un código o la huella.", dice el comunicado, que nombra montos de pólizas, saldos de previsión, datos bancarios y contraseñas. La empresa avisó el 11 de noviembre a la Autoridad Nacional de Protección de DatosAutoridad Nacional de Protección de Datos (ANPD) Organismo de Brasil que fiscaliza el cumplimiento de la ley general de protección de datos personales (LGPD) y recibe los avisos de incidentes de seguridad. (ANPD) y a los afectados, como exige la ley de datos personales de BrasilLey de Brasil que fija cómo empresas y organismos pueden recolectar, usar y guardar datos personales, y qué derechos tienen las personas sobre su información. (LGPD), y abrió un correo para consultas.

No dijo quién atacó ni por dónde entró. Contrató peritos forenses externos y vigila internet por si los datos aparecen publicados, según iG Economia. Tampoco hay información de que se hayan tocado cuentas o sistemas de la Caixa Econômica Federal, el banco, aclaró IstoÉ.

El Tesoro, con sistemas apagados hasta el lunes

El caso del Tesoro es más chico en número, pero toca los pagos del Estado. En una nota de prensa, la secretaría, que depende del Ministerio de Hacienda, dijo que detectó el 4 de noviembre un acceso no autorizado a dos bases. Una era la del portal e-Serviços, donde se piden trámites al Tesoro, con nombre, CPF y correo de unos 30.000 usuarios. La otra, una base de consultas internas con unas 4.000 claves Pix de beneficiarios de pagos federales y datos de esos pagos. "No hubo ningún impacto financiero", afirmó el organismo.

La nota se difundió el jueves por la noche, según InvestNews, y en el sitio del Tesoro figura con fecha del viernes a las 12:41 UTC. El organismo atribuyó los ocho días entre la detección y el aviso al tiempo que llevó confirmar y contener el incidente, e informó a la ANPD y al centro de respuesta a incidentes del gobierno federal, el CTIR Gov.

Lo nuevo llegó el viernes a las 19:11 UTC (16:11 en Brasilia y Buenos Aires, 14:11 en Bogotá y Lima, 13:11 en Ciudad de México). En otro comunicado, el Tesoro dijo que parte de sus sistemas sigue fuera de servicio, entre ellos las consultas de documentos de su sitio y del portal Tesouro Transparente. Espera normalizarlos hasta la mañana del lunes 16 de noviembre, después de corregir "las vulnerabilidades identificadas". La gestión de la deuda pública sigue normal y los resultados de las licitaciones de bonos se pueden ver en el sitio del Banco Central, según Metrópoles.

Datos que alcanzan para estafar

Ninguno de los dos robos incluyó contraseñas, pero los datos sirven para que un mensaje, un correo o una llamada parezcan legítimos y convenzan a la víctima de entregar credenciales o hacer una transferencia, explicó Estadão. Conviene desconfiar de cualquier contacto que pida datos personales, contraseñas o pagos en nombre de la Caixa o del Tesoro, como recomendó el propio organismo. IstoÉ sumó otro consejo, no cargar datos en páginas que prometen averiguar si una persona quedó en la filtración, porque pueden ser una trampa de phishingEngaño por correo, mensaje o sitio falso que imita a una entidad conocida para que la víctima entregue claves o datos o instale un programa. El dirigido se arma a la medida de una persona..

Los dos casos se suman a una serie de ataques en Brasil que la Agência Brasil, la agencia pública de noticias, repasó el viernes junto con el del puerto de Santos. El lunes 9 se había conocido el robo de datos del Tribunal de Justicia de Maranhão. El Tesoro promete sus sistemas para el lunes, y la Caixa todavía no dijo cuántos ex clientes hay en la base copiada.