As informações pessoais dos clientes podem ter sido expostas em uma violação de dados da Amtrak

Na semana passada, a National Railroad Passenger Corporation ou Amtrak, como é mais conhecido, registrou uma notificação de violação de dados no Gabinete do Procurador Geral de Vermont e também começou a enviá-la para alguns de seus clientes. Diz que em abril, um cibercriminoso desconhecido (ou cibercriminoso) conseguiu acessar algumas contas da Amtrak.

O que nós sabemos

O ataque foi detectado pela primeira vez na noite de 16 de abril, quando a equipe de TI da Amtrak notou que "terceiros" obtiveram acesso não autorizado a contas pertencentes a viajantes que participam do programa Amtrak Guest Rewards. Uma vez dentro, os criminosos conseguiram visualizar as informações pessoais dos proprietários da conta. A notificação indica que as informações potencialmente comprometidas não incluem dados financeiros ou números de seguridade social.

Dentro de algumas horas, a Amtrak iniciou os invasores e iniciou uma investigação, que revelou que os invasores usavam credenciais de login comprometidas para invadir. Uma redefinição de senha foi forçada para cada uma das contas afetadas e especialistas externos em segurança cibernética foram chamados para confirme que a violação foi encerrada. Embora a natureza dos dados potencialmente comprometidos não pareça ser particularmente sensível, os clientes afetados podem se inscrever para uma associação de um ano do serviço de proteção contra fraudes IdentityWorks da Experian, totalmente gratuito. A notificação de violação é acompanhada de instruções sobre o que os usuários precisam fazer para aproveitar o serviço de proteção contra fraudes, além de dicas sobre como eles podem se proteger contra roubo de identidade.

Diante disso, a Amtrak parece levar o incidente a sério e, embora tenha acontecido mais de um mês depois que o serviço ferroviário soube do ataque, a divulgação parece ser suficientemente transparente. Quando você olha mais de perto, no entanto, verá que algumas peças do quebra-cabeça ainda estão faltando.

O que não sabemos

A natureza exata das informações potencialmente comprometidas, por exemplo, permanece desconhecida. Sabemos que nenhum número de cartão de crédito estava envolvido, mas os usuários ainda não têm uma lista de detalhes que podem ter sido acessados.

O número de clientes afetados também é um mistério. A investigação parece estar bem e verdadeiramente encerrada, o que significa que a Amtrak não tem conhecimento de quem foi comprometido exatamente ou não está disposto a compartilhar publicamente essas informações. Seja como for, não saber quantas pessoas foram atingidas significa que é difícil determinar a escala do ataque.

A parte mais crucial que está faltando na divulgação da Amtrak, no entanto, é a fonte das credenciais de login comprometidas. Existem duas opções: os atacantes os roubaram do próprio serviço ferroviário ou os tiraram de um banco de dados vazado durante uma violação não relacionada e os usaram para comprometer contas de pessoas que reutilizam suas senhas.

Se os dados foram roubados da Amtrak, isso significa que, pelo menos até meados de abril, a empresa não estava armazenando as senhas dos usuários corretamente. Por outro lado, se os invasores usaram o preenchimento de credenciais, isso significaria que os usuários da Amtrak são os que não seguem as melhores práticas de segurança de senha.

No primeiro cenário, realmente não há muito que você possa fazer. Independentemente de você ser ou não cliente da Amtrak, você pode (e deve) garantir que não reutilize a mesma senha para mais de uma conta. Essa é a maneira mais fácil de manter a segurança no caso de um ataque de preenchimento de credenciais.