A Virgin Media, uma das maiores provedoras de TV a cabo e telecomunicações do Reino Unido, mantinha um banco de dados de marketing configurado incorretamente, de modo que podia ser acessado sem autorização. A configuração incorreta não foi detectada por cerca de dez meses. Em março de 2020, a empresa divulgou que aproximadamente 900.000 pessoas haviam sido afetadas, incluindo clientes de telefonia fixa que representavam cerca de 15% dessa base de clientes.
Os dados expostos eram informações de contato: nomes, endereços residenciais e de e-mail e números de telefone. A Virgin Media afirmou que o banco de dados não continha senhas nem dados financeiros, como números de cartão de crédito ou de conta bancária. A empresa disse que tomou conhecimento do problema, encerrou o acesso ao banco de dados e manteve o Information Commissioner's Office (Órgão do Comissário de Informação) informado.
O caso é pequeno em comparação com os megavazamentos, mas seu mecanismo é o mais comum: o banco de dados não foi tanto invadido, mas sim deixado aberto. Um erro de configuração ficou sem monitoramento durante a maior parte de um ano, e a lacuna entre "configurar" e "verificar" resultou na exposição dos dados pessoais de quase um milhão de clientes.
A violação não foi um ataque hacker, mas um erro de configuração sem monitoramento; a correção foi encerrar o acesso, mas o custo foi a exposição dos dados de quase um milhão de clientes.
Um banco de dados de marketing foi configurado incorretamente, de modo que podia ser acessado sem autorização.
A configuração incorreta passou despercebida por cerca de dez meses, de modo que a janela de exposição foi longa antes que alguém verificasse.
O banco de dados continha os dados de contato de aproximadamente 900.000 pessoas — nomes, endereços residenciais e de e-mail e números de telefone.
Nenhum monitoramento ou revisão de acesso detectou o banco de dados aberto; a falha foi a ausência de verificação, não um ataque sofisticado.
A lição
Os dados dos clientes precisam de um responsável que os verifique. O banco de dados de marketing da Virgin Media ficou mal configurado por dez meses antes que alguém percebesse — a violação foi a lacuna entre "configurado" e "monitorado".
A Virgin Media encerrou o acesso ao banco de dados, entrou em contato com os clientes afetados e manteve o Information Commissioner's Office do Reino Unido informado. Como nenhum dado financeiro ou senha foi exposto, o dano imediato aos clientes foi limitado, mas o incidente é citado como um exemplo clássico de como as violações de dados costumam acontecer: não por meio de uma intrusão sofisticada, mas por meio de um sistema mal configurado que ninguém estava vigiando.
CONFIRA AS EVIDÊNCIAS