MobiKwik enfrentou um suposto vazamento de dados de 110 milhões de usuários com negação e uma ameaça legal

O MobiKwik é uma das maiores carteiras de pagamento móvel da Índia, guardando os documentos de identidade que as regras indianas exigem que os clientes apresentem — dados de KYC, números de identidade Aadhaar, dados de cartão e de telefone. No início de março de 2021, um pesquisador de segurança relatou que um conjunto de dados que se dizia pertencer ao MobiKwik, abrangendo aproximadamente 110 milhões de usuários, havia aparecido à venda em um fórum da dark web.

A resposta do MobiKwik foi uma negação imediata. Em 4 de março, afirmou que não havia encontrado nenhuma falha de segurança, e sua equipe jurídica disse que tomaria medidas rigorosas contra o pesquisador. Quando os usuários começaram a verificar e relataram que parte dos dados vazados parecia genuína, a história só cresceu. A equipe de emergência cibernética da Índia, a CERT-In, compartilhou uma amostra dos dados com o MobiKwik; a empresa disse que a amostra não era de seus dados.

A negação não conteve a crise. Com a alegação agora pública e contestada, o Reserve Bank of India (RBI) ordenou que o MobiKwik se submetesse a uma auditoria forense de seus sistemas por um auditor certificado pela CERT-In. Uma empresa de pagamentos que lida com dados de identidade havia transformado uma alegação de segurança em um exame regulatório.

O caso agora é citado por sua resposta à crise, e não pelo vazamento em si, que o MobiKwik continuou a contestar. Quando uma empresa que detém dados sensíveis é informada de que houve um vazamento, negar e ameaçar o mensageiro convida usuários, pesquisadores e o regulador a verificar — e a auditoria do regulador, e não a negação da empresa, torna-se a história.

A negação e uma ameaça legal convidaram à verificação, então o RBI ordenou uma auditoria forense, fazendo da auditoria, e não da negação, a história.

O MobiKwik detinha os documentos de identidade que as regras indianas exigem — dados de KYC e Aadhaar —, de modo que qualquer suposto vazamento era automaticamente um evento de alto risco e alta atenção.

Sua primeira resposta foi a negação e uma ameaça legal contra o pesquisador, antes de qualquer investigação transparente, o que tornou a história maior em vez de menor.

Depois que usuários e a CERT-In testaram a alegação, a negação pareceu evasiva; a empresa perdeu o controle da narrativa para quem pudesse verificar os dados.

Transformar uma alegação de segurança em uma briga com o mensageiro atraiu o Reserve Bank of India, que ordenou uma auditoria forense que a empresa agora teria de passar.

Quando você detém dados sensíveis e é informado de que houve um vazamento, a negação e uma ameaça legal saem pela culatra. Usuários, pesquisadores e o regulador vão verificar — e a auditoria, e não a negação, torna-se a história.

O MobiKwik manteve que seus sistemas não foram violados e cooperou com a auditoria ordenada pelo RBI. O episódio tornou-se um exemplo amplamente ensinado na Índia de como não lidar com uma alegação de segurança de dados: para uma empresa encarregada de dados de identidade, a resposta a uma alegação de vazamento é, ela própria, um teste de confiança, e uma negação defensiva pode custar mais do que a alegação original.