Clientes da Macy's começam a receber informações sobre como proteger suas contas após uma violação de dados

Pesquisas sugerem que, de acordo com os usuários, as empresas são responsáveis por proteger as informações pessoais das pessoas e devem assumir toda a responsabilidade após sofrerem uma violação de dados. Às vezes, no entanto, as coisas não são tão simples assim. Por exemplo, no ano passado, alguns dos clientes da varejista de roupas Macy's tiveram suas informações pessoais comprometidas por hackers, mas a loja dificilmente foi a única culpada. Naquela época, a Macy's era alvo de um ataque de preenchimento de credenciais e, como todos sabemos, um ataque de preenchimento de credenciais só funcionará se muitos clientes reutilizarem as mesmas senhas antigas. A Macy's não tem (e não deveria) ter controle sobre como as pessoas gerenciam seus dados de login, o que significa que eles não podem ser responsabilizados quando as consequências inevitáveis da reutilização de senha desenfreada se apresentam.

Infelizmente, no mês passado, um pouco mais de um ano após o primeiro ataque, Macy's sofreu um segundo e, desta vez, as coisas são um pouco diferentes.

Macy sofre um segundo ataque cibernético

No início desta semana, uma cópia de uma carta de notificação de violação de dados apareceu, revelando que a Macy's está informando seus clientes sobre um segundo incidente de hackers. Aparentemente, a mensagem foi enviada na semana passada e afirma que, em 7 de outubro, os cibercriminosos conseguiram invadir o site da Macy e injetar código malicioso em duas das páginas: a página de checkout e a página Wallet da seção Minha conta.

A página de check-out é onde as pessoas inserem os detalhes do cartão de crédito (incluindo número do cartão, código CVV e data de validade) e, como você já deve ter adivinhado, o principal objetivo do script injetado era raspar todos esses dados e enviá-los para um servidor controlado pelos atacantes. Na seção Minha conta, os hackers também conseguiram roubar nomes, endereços físicos e de email e números de telefone.

Praticamente exatamente o mesmo tipo de detalhes foi roubado durante o ataque de julho de 2018. A diferença é, no entanto, que, embora o primeiro incidente possa ser atribuído à falta de higiene das senhas dos usuários, a responsabilidade pelo segundo incumbe exclusivamente ao varejista on-line.

Magecart estava no final do incidente

O ataque apresentava todas as características de uma operação Magecart desde o início e, com certeza, depois de dar uma olhada, os especialistas concluíram que era exatamente isso que era. Magecart, para quem não sabe, não é uma família de malware. Também não é uma equipe de hackers. Magecart é um nome coletivo usado para operações de desnatação de cartão de crédito on-line que empregam um conjunto específico de ferramentas e técnicas. A popularidade dos ataques Magecart cresceu tanto nos últimos dois anos, que esse tipo de skimming é considerado uma das maiores ameaças aos negócios de comércio eletrônico atualmente.

Oleg Kolesnikov, do Securonix Threat Research Lab, disse ao The Register que Macy's sofreu um ataque típico de Magecart. Os arquivos comprometidos haviam sido direcionados em incidentes anteriores desse tipo, e até o domínio Command & Control (C&C) havia sido usado pelos hackers Magecart.

Apesar de tudo isso, a equipe de segurança de Macy não percebeu a invasão inicial e não capturou o ataque até uma semana depois, o que significa que alguns cartões de crédito podem ter sido comprometidos. Infelizmente, o número exato de usuários afetados permanece desconhecido por enquanto.

A carta de notificação de violação de dados não diz quantas pessoas foram vítimas do ataque, e o incidente não é mencionado em um comunicado de imprensa ou em qualquer outro canal oficial. Provavelmente, essa não é a melhor decisão, considerando o número de pessoas que podem ser afetadas pela violação.

Para tentar melhorar o humor, a Macy's disse em sua notificação que os clientes afetados podem receber gratuitamente 12 meses de serviços de proteção contra roubo de identidade da Experian. Aparentemente, no entanto, as pessoas não pensam que isso é suficiente. Depois que a notícia foi divulgada na terça-feira, as ações da varejista perderam quase 11% do seu valor em questão de um único dia.