Pathao confirma o roubo de dados pessoais, enquanto alegações não verificadas apontam para a exposição de 19 milhões de contas

Roubo de dados confirmado, mas a dimensão continua por apurar

A Pathao confirmou que atacantes obtiveram os nomes, endereços de correio electrónico e números de telefone de alguns utilizadores durante um incidente de cibersegurança, a 4 de Outubro, que perturbou as operações da empresa no Bangladesh e no Nepal. A empresa não confirmou uma alegação muito mais abrangente, segundo a qual criminosos roubaram 133 gigabytes de informação relativos a 19.063.918 contas e exigiram 400.000 USDT para não divulgarem os dados.

A distinção é importante: a Pathao reconhece o roubo de alguns dados pessoais, mas continua por confirmar a alegada exposição de documentos de identificação, transacções financeiras, palavras-passe e dados de localização. A empresa não revelou quantas pessoas foram afectadas, como é que os atacantes entraram nos seus sistemas ou durante quanto tempo tiveram acesso.

Na declaração de 7 de Outubro publicada na sua página oficial do Facebook, a Pathao confirmou pela primeira vez, publicamente, que tinham sido obtidos dados pessoais. A empresa descreveu a informação que, segundo apurou, chegou às mãos dos atacantes:

Percebemos que certos dados pessoais, incluindo nomes, endereços de correio electrónico e números de telefone, foram obtidos por agentes maliciosos.

A Pathao afirmou ter colocado temporariamente fora de serviço sistemas críticos após detectar o incidente, tendo restabelecido os serviços pouco depois e recorrido a especialistas externos em cibersegurança. Alguns utilizadores poderiam continuar a ter problemas intermitentes enquanto prosseguia o trabalho para estabilizar a plataforma.

O incidente abrange mais do que um único serviço. A Pathao presta serviços de transporte e entregas, além de oferecer produtos financeiros, incluindo a carteira digital Pathao Pay e o serviço Pathao Pay Later. Esta diversidade torna essencial apurar quais os sistemas e registos afectados, mas a existência de produtos financeiros não prova, por si só, que tenham sido roubados dados de pagamentos.

A 9 de Outubro, a empresa ainda investigava as alegações relativas ao conjunto de dados de maior dimensão. Confirmara perturbações nos dois países, mas não indicara quantos utilizadores ou registos tinham sido afectados em cada um deles.

Como decorreu o incidente

O relato público abrange a perturbação inicial, o reconhecimento do incidente pela empresa e as respostas posteriores às alegações sobre o conjunto de dados. As datas indicam quando o incidente foi detectado e discutido publicamente, mas não revelam durante quanto tempo os atacantes tiveram acesso.

• 4 de Outubro: a Pathao detectou um incidente de cibersegurança, sofreu perturbações nos serviços e colocou temporariamente sistemas críticos fora de serviço, como medida de precaução.
• 7 de Outubro: a Pathao reconheceu publicamente que tinham sido obtidos alguns dados pessoais. Na rede X, também circulou uma captura de ecrã de uma alegada publicação num fórum criminoso, que descrevia um roubo muito maior e um pedido de resgate.
• 9 de Outubro: novas respostas da empresa confirmaram que as operações no Bangladesh e no Nepal tinham sido afectadas, enquanto o alegado volume de dados, o número de registos e as categorias de informação sensível continuavam sob investigação.

A Pathao afirmou que os serviços foram retomados pouco depois de terem sido suspensos. Não divulgou a duração exacta da interrupção nem apresentou uma descrição técnica da recuperação. Restabelecer o acesso a uma aplicação e concluir uma investigação a uma violação de dados são tarefas distintas: os serviços podem voltar a funcionar enquanto os investigadores continuam a apurar que informações foram roubadas.

O que conteria o conjunto de dados alegado

A alegação criminosa refere cerca de 250 milhões de linhas de base de dados, distribuídas por 591 tabelas, e um conjunto principal de dados de contas com 19.063.918 registos. Uma linha de base de dados é uma entrada individual, enquanto uma tabela agrupa entradas de um determinado tipo. Várias linhas podem dizer respeito à mesma pessoa, pelo que 250 milhões de linhas não significariam 250 milhões de utilizadores afectados.

A informação alegadamente obtida sobre as contas inclui nomes, números de telefone, endereços de correio electrónico, dados de palavras-passe, informação GPS, identificadores do Facebook e tokens de acesso. Um token de acesso é uma credencial digital que pode permitir a uma aplicação aceder a uma conta ou serviço sem pedir repetidamente uma palavra-passe.

Os relatos descrevem de formas diferentes alguns aspectos da alegação. Um deles especifica que as palavras-passe estavam cifradas através de hash, enquanto outro se refere simplesmente a palavras-passe. A aplicação de hash transforma uma palavra-passe numa representação armazenada, em vez de guardar o texto legível, embora a exposição possa continuar a criar riscos, consoante o nível de protecção. A Pathao não confirmou que tenha sido obtida qualquer uma destas formas de dados.

A estrutura também é descrita de formas diferentes: alguns relatos referem as 591 unidades como tabelas de base de dados, enquanto outro as designa bases de dados ou repositórios de dados. Os termos não são equivalentes. Sem um conjunto de dados autenticado ou uma conclusão técnica, não é possível determinar a estrutura exacta.

Os alegados registos de identificação incluem 19.059.387 números de bilhete de identidade nacional e 19.046.583 registos de cartas de condução. As alegações abrangem ainda cerca de 5,7 milhões de moradas e, em alguns relatos, aproximadamente 19 milhões de fotografias de utilizadores. A Pathao não confirmou nenhuma destas categorias.

Nem mesmo o número exacto de contas permite determinar quantas pessoas distintas foram afectadas. Antes de considerar esse valor como o número de utilizadores afectados, os investigadores teriam de apurar se os registos são autênticos, actuais ou duplicados.

Alegadas informações de funcionários, comerciantes e transacções

O alegado roubo vai além dos perfis de clientes. O conjunto de dados incluiria registos relativos a 549 funcionários, com dados de identificação nacional, salários, afiliações religiosas e números de contacto de emergência. Outras alegações referem registos de acesso administrativo, locais de entrega e trajectos dos estafetas.

As alegações financeiras incluem 17.943 registos de contas bancárias e códigos de encaminhamento de comerciantes, além de 845.872 registos de transacções por débito directo. A informação de encaminhamento bancário identifica a instituição ou agência envolvida num pagamento. Um registo de transacção documenta um pagamento, mas a sua presença não provaria, por si só, que um atacante pudesse movimentar dinheiro.

Estes valores dizem respeito a diferentes tipos de registos, não a um único total que possa ser somado para determinar o número de vítimas. Os dados dos funcionários, as contas de comerciantes e as transacções repetidas podem sobrepor-se a outras entradas do conjunto de dados alegado.

Md. Foyej, responsável pelas parcerias e relações públicas da Pathao, afirmou que a empresa não confirmou as alegações relativas às categorias sensíveis. Numa resposta por correio electrónico, declarou:

Nesta fase, não foram confirmadas as alegações relativas a números de bilhete de identidade nacional, cartas de condução, localização, moradas ou dados financeiros. Quaisquer informações adicionais que sejam confirmadas serão comunicadas através dos canais oficiais da Pathao.

Pedido de resgate continua por confirmar

A alegada publicação criminosa exigia 400.000 USDT, valor descrito nos relatos como equivalente a cerca de 400.000 dólares. O USDT, também conhecido como Tether, é uma criptomoeda concebida para acompanhar o valor do dólar norte-americano. Segundo os relatos, o grupo deu à Pathao 24 horas para pagar e ameaçou divulgar informações por fases.

As divulgações ameaçadas incluiriam informações de identificação, bancárias, sobre funcionários e administrativas. Não foi possível confirmar de forma independente a alegação nem o prazo. Os relatos não estabelecem uma hora de início confirmada para o prazo, uma decisão sobre o pagamento ou qualquer divulgação posterior.

Foyej, em representação da Pathao, recusou validar o alegado pedido:

A Pathao não pretende comentar alegações não verificadas sobre pedidos de resgate.

A ameaça de divulgar informações roubadas é uma forma de extorsão de dados. Não significa necessariamente que os atacantes tenham cifrado os sistemas ou impedido a empresa de aceder aos seus próprios ficheiros. A Pathao não divulgou provas de cifragem nem explicou o mecanismo técnico que esteve na origem da perturbação.

O que a Pathao afirma ter feito

A resposta anunciada pela Pathao assenta em três medidas principais: colocar sistemas críticos fora de serviço, recorrer a especialistas externos em cibersegurança e notificar as autoridades competentes. A empresa afirmou ter notificado autoridades policiais ou entidades governamentais, nos termos das regras aplicáveis, mas não identificou as entidades nem as disposições legais específicas.

Na sua declaração pública, a Pathao descreveu a resposta imediata e o papel dos especialistas:

Foram tomadas medidas imediatas de contenção e contratados especialistas externos em cibersegurança para reforçar os controlos de segurança e ajudar a garantir que os sistemas da Pathao se mantêm seguros e estáveis.

A empresa afirmou estar a cooperar com as autoridades enquanto a investigação prosseguia. Pediu desculpa aos utilizadores, estafetas, comerciantes e parceiros pelo incidente e pelas perturbações, reconhecendo a sua responsabilidade de proteger a informação que lhe foi confiada.

Foyej afirmou também que algumas medidas de precaução poderão ter terminado automaticamente a sessão de alguns utilizadores. Estes poderiam voltar a iniciar sessão para usar o serviço. Uma sessão terminada automaticamente não prova, por si só, que os dados de uma pessoa em particular tenham sido roubados.

Porque é que até os dados de contacto podem representar riscos

A exposição confirmada de nomes, endereços de correio electrónico e números de telefone fornece aos atacantes informações que podem tornar convincente um contacto fraudulento. Uma mensagem que se dirige a alguém pelo nome e menciona um serviço que utiliza pode parecer mais credível do que um pedido anónimo.

O phishing consiste em fazer-se passar por uma organização ou pessoa de confiança para persuadir alguém a revelar informações, seguir uma ligação maliciosa ou autorizar uma acção. A Pathao alertou para esta possibilidade, mas não afirmou que já tivessem ocorrido ataques de phishing ou de usurpação de identidade relacionados com a violação.

O especialista em tecnologias da informação Suman Ahmed Sabir apontou o roubo de identidade, a fraude bancária, o phishing, a chantagem e a apropriação de contas nas redes sociais como riscos possíveis caso as alegações mais abrangentes se confirmem. A sua avaliação refere-se a consequências potenciais, não a crimes confirmados contra utilizadores da Pathao.

O tipo de informação exposta altera o risco. Os dados de contacto podem facilitar tentativas de fraude direccionadas; os documentos de identificação podem ser usados em tentativas de usurpação de identidade; e os dados de localização e dos trajectos podem revelar deslocações privadas. Os tokens de acesso podem pôr em risco a segurança das contas, dependendo das permissões que concedem e de se ainda estão válidos. A Pathao não confirmou a exposição destas categorias mais sensíveis.

O que foi aconselhado aos utilizadores

A principal recomendação da Pathao é ter cuidado com mensagens, chamadas e ligações inesperadas de quem afirme representar a empresa. A empresa aconselhou os utilizadores a não partilharem palavras-passe, códigos PIN ou palavras-passe de utilização única em resposta a esse tipo de contacto.

Uma palavra-passe de utilização única, ou OTP, é um código temporário usado para autorizar um início de sessão ou uma transacção. Partilhá-lo pode permitir que outra pessoa conclua a acção que o código protege, mesmo que não saiba a palavra-passe habitual da conta.

A empresa aconselhou os utilizadores a consultar os seus canais oficiais para obter informações confirmadas. As recomendações de segurança divulgadas a propósito do incidente incluíram também evitar ligações desconhecidas e activar a autenticação de dois factores no Facebook e noutras contas. Esta acrescenta uma segunda etapa de verificação, para além da palavra-passe.

Estas precauções procuram prevenir o eventual uso indevido de informações, sem presumir que todas as alegações são verdadeiras. Não existe um número confirmado de contas do Facebook comprometidas, transacções fraudulentas ou casos de roubo de identidade decorrentes deste incidente.

O que falta apurar na investigação

O especialista em cibersegurança Tanvir Hassan Zoha recomendou uma investigação forense digital independente, a preservação dos servidores e registos de acesso relevantes, bem como a notificação dos reguladores e das autoridades policiais nos termos da legislação aplicável. A perícia digital recorre a provas técnicas para reconstituir o que aconteceu, incluindo os sistemas a que se acedeu e as acções realizadas.

A preservação dos registos é importante porque estes podem ajudar a determinar o método de entrada, o período de acesso não autorizado e os registos a que o atacante acedeu. A Pathao anunciou que recorreu a especialistas externos, mas não esclareceu se o trabalho consiste numa investigação forense independente nem divulgou conclusões.

Sabir defendeu também que a supervisão da cibersegurança no Bangladesh enfrenta limitações de pessoal e de recursos, incluindo nas instituições responsáveis pela resposta a incidentes. Apelou à criação de um quadro legal para indemnizar clientes que sofram prejuízos. Estas são avaliações e recomendações suas, não conclusões de uma autoridade que esteja a investigar a Pathao.

As questões imediatas por esclarecer são mais concretas: quantos utilizadores foram afectados, que categorias de informação foram roubadas, se foram expostos registos dos dois países e se os alegados dados financeiros ou credenciais de acesso são autênticos. A Pathao não anunciou uma data para concluir a investigação, divulgar conclusões ou publicar a próxima actualização.

A promessa da empresa de comunicar informações confirmadas deixa clara uma distinção que os utilizadores devem ter presente. Está confirmado o roubo de alguns dados pessoais. Não está confirmada a alegação de um conjunto de dados de 133 gigabytes, com mais de 19 milhões de contas, extensos registos de identificação e informações financeiras.

Pontos principais

• A Pathao confirmou que os atacantes obtiveram alguns nomes, endereços de correio electrónico e números de telefone durante o incidente de 4 de Outubro.
• As operações no Bangladesh e no Nepal foram perturbadas, e alguns utilizadores poderão ter problemas intermitentes durante os trabalhos de estabilização.
• As alegações relativas a 133 gigabytes, 19.063.918 contas e cerca de 250 milhões de linhas de base de dados continuam por confirmar.
• A Pathao não confirmou a alegada exposição de palavras-passe, documentos de identificação, dados de localização ou informações financeiras.
• A empresa não confirmou um alegado pedido de 400.000 USDT e um prazo de 24 horas.
• Estão envolvidos especialistas externos em cibersegurança, as autoridades competentes foram notificadas e não foi anunciada uma data para a conclusão da investigação.
• Os utilizadores foram alertados para contactos não solicitados e aconselhados a nunca partilhar palavras-passe, códigos PIN ou OTP.