Symantec não informou clientes da Austrália sobre violação de dados em fevereiro

A empresa de cibersegurança Symantec minimizou uma violação de dados que permitiu a um hacker acesso a senhas e a uma suposta lista de clientes, que incluía empresas australianas e agências governamentais do país.

O incidente aconteceu em fevereiro deste ano, mas as informações foram obtidas pelo The Guardian Australia nesta semana. O documento sugere que todos os principais departamentos do governo federal estavam entre os alvos do hacker, que afirmou também ser responsável por vender recentemente os dados da Medicare na dark web.

Nesta quinta-feira (13), a Symantec disse que o "pequeno incidente" envolveu "um laboratório de demonstração isolado e autossuficiente na Austrália – não conectado à rede corporativa da Symantec – usado para [demonstrar] várias soluções de segurança da Symantec e como elas funcionam juntas".

De acordo com a companhia, o incidente não foi revelado anteriormente porque a Symantec concluiu que "nenhum dado pessoal confidencial foi hospedado ou extraído deste laboratório de demonstração, nem a rede corporativa, contas de e-mail, produtos ou soluções da Symantec foram comprometidos".

De acordo com o The Guardian, o hacker conseguiu informações de gerentes e números de contas da Symantec, além de extrair uma lista de clientes de serviços CloudSOC. Enquanto isso, a Symantec diz que os dados contidos no sistema eram "e-mails fictícios e um pequeno número de arquivos de baixo nível e não sensíveis usados para demonstração".

Na lista obtida pelo The Guardian aparecem a polícia federal australiana, quatro grandes bancos, seguradoras, universidades, varejistas e departamentos do serviço público federal. "Esta é uma lista antiga de algumas das maiores entidades públicas e privadas da Austrália – ela estava no ambiente para fins de teste", disse um porta-voz da Symantec. "Essas entidades não são necessariamente clientes da Symantec, nem necessariamente hospedamos serviços para elas".

Órgãos afetados

Um dos nomes que aparecem na lista é o de Departamento de Serviços Sociais que confirmou "usar produtos da Symantec, incluindo o CloudSOC, de acordo com as melhores práticas do Australian Cyber ​​Security Center". O órgão ressaltou que: "O produto em questão não é usado pelo departamento para armazenar informações confidenciais ou de clientes".

Em declaração, o Departamento de Infraestrutura, Transportes, Cidades e Desenvolvimento Regional observou que o departamento mencionado na lista foi "descontinuado em 2013". "Não recebemos nenhum aviso da Symantec sobre esse assunto, mas entraremos em contato em relação ao uso continuado, se houver, em nome de nosso antigo departamento".

Já os setores de agricultura, educação, emprego, comunicação e artes afirmaram usar outros produtos da Symantec, mas não serviços de nuvem, além de não armazenar informações com a Symantec. O órgão local de educação ainda acrescentou que entrará em contato com a empresa para conseguir mais detalhes.

Outros departamentos federais, como o de infraestrutura, indústria, serviços humanos e finanças confirmaram que não usam os serviços CloudSOC da Symantec e não armazenam informações com a companhia.

Pela legislação australiana, empresas devem criar um esquema de notificação compulsória quando uma violação de dados resultar em danos sérios a indivíduos cujas informações pessoais estão envolvidas na violação. Sobre o assunto, o porta-voz da Symantec disse que a empresa lida com "qualquer incidente de segurança cibernética – independentemente de seu escopo ou gravidade – com a máxima prioridade e toma muito cuidado ao cumprir as leis dos países nos quais fazemos negócios em todo o mundo".

“Em conformidade com nossas políticas internas e orientações, que se alinham às leis nacionais e internacionais de proteção de dados, não foram divulgados dados pessoais ou informações confidenciais que acionassem quaisquer obrigações regulatórias, mas a Symantec continuará a realizar esforços de correção adequados se a situação mudar”, afirmou o porta-voz em nota.

Fonte: The Guardian