Hackers invadiram a Target por meio de um fornecedor de ar-condicionado — e roubaram 40 milhões de cartões

Na temporada de compras de fim de ano de 2013, a varejista Target sofreu uma das maiores violações de dados da história. Os atacantes obtiveram acesso não rompendo diretamente as próprias defesas da Target, mas roubando credenciais de um fornecedor terceirizado que prestava serviços aos sistemas de aquecimento e ar-condicionado da Target. Por meio do acesso desse fornecedor, os atacantes se infiltraram na rede da Target.

Uma vez dentro, os atacantes instalaram malware nos sistemas de ponto de venda da Target e roubaram os números de cartões de crédito e débito de cerca de 40 milhões de clientes, além de informações pessoais (nomes, endereços, e-mails) de cerca de 70 milhões de pessoas. A violação passou semanas sem ser detectada, apesar de a Target dispor de ferramentas de segurança que haviam sinalizado a intrusão — alertas que não foram tomados em conta.

As consequências foram graves. A Target pagou um acordo multiestadual de US$ 18,5 milhões e um acordo de ação coletiva de US$ 10 milhões, gastou centenas de milhões em remediação e teve suas vendas e reputação prejudicadas. O diretor-presidente Gregg Steinhafel renunciou em 2014. A violação tornou-se um caso marco em cibersegurança — um exemplo contundente de como um elo fraco na cadeia de suprimentos, e alertas de segurança ignorados, podem expor os dados de dezenas de milhões de clientes.

A violação custou à Target acordos de US$ 18,5 milhões e US$ 10 milhões, centenas de milhões em remediação e o cargo do CEO, depois que 40 milhões de cartões e os dados de 70 milhões de clientes foram roubados.

Os atacantes entraram na rede da Target por meio das credenciais roubadas de um fornecedor terceirizado de HVAC, explorando um elo fraco na cadeia de suprimentos.

Uma vez dentro, instalaram malware nos sistemas de ponto de venda e roubaram 40 milhões de números de cartões e dados de 70 milhões de clientes.

As ferramentas de segurança da Target sinalizaram a intrusão, mas os alertas não foram tomados em conta, de modo que a violação passou semanas sem ser detectada.

A violação custou à Target centenas de milhões em acordos e remediação, prejudicou suas vendas e reputação e levou à renúncia do CEO.

Sua segurança é tão forte quanto o seu fornecedor mais fraco. A Target foi invadida por meio das credenciais de um fornecedor de HVAC, e seus alertas foram ignorados. Um alerta que ninguém toma em conta não é alerta algum.

A violação da Target foi uma das maiores da história e um caso marco em cibersegurança, expondo os dados de dezenas de milhões de clientes por meio das credenciais de um fornecedor terceirizado e de alertas ignorados. Custou à Target centenas de milhões em acordos e remediação, prejudicou suas vendas de fim de ano e sua reputação e levou à renúncia do CEO. A lição é duradoura: a segurança de uma empresa se estende a cada fornecedor com acesso à sua rede, e ferramentas de segurança são inúteis se os alertas que geram forem ignorados — a violação que você não toma em conta é a que o destrói.