A operadora de data centers CyrusOne tornou-se alvo de uma nova campanha atribuída ao grupo cibercriminoso ShinyHunters, que está exigindo US$ 13 milhões para não divulgar informações que afirma ter roubado da companhia.
O caso ganhou atenção especial porque a CyrusOne atua justamente na operação de infraestrutura crítica utilizada por grandes organizações para hospedar servidores, redes e sistemas corporativos.
Até o momento, porém, as informações sobre o volume e o conteúdo dos arquivos são alegações dos criminosos e não devem ser tratadas como uma confirmação independente de que todo o material descrito foi efetivamente comprometido.
Grupo afirma ter acessado milhões de registros
A dimensão alegada do incidente é significativa.
O ShinyHunters afirma ter obtido aproximadamente 12,9 milhões de registros relacionados ao ambiente Salesforce da CyrusOne.
Também estariam entre as informações mais de 182 mil registros de contatos.
Além disso, os criminosos dizem ter extraído aproximadamente 645 GB de dados não compactados provenientes do SharePoint, correspondentes a centenas de milhares de arquivos distribuídos por dezenas de milhares de pastas.
A quantidade, caso seja confirmada, colocaria o episódio entre os incidentes mais relevantes envolvendo empresas de infraestrutura digital neste ano.
Dados de mais de 8 mil funcionários estariam envolvidos
O material alegadamente roubado também incluiria informações relacionadas a mais de 8,3 mil funcionários.
Esse tipo de informação pode ampliar os riscos depois de um vazamento.
Dados corporativos podem ser utilizados para construir campanhas de phishing altamente direcionadas, nas quais criminosos se passam por colegas, fornecedores ou integrantes da própria organização.
Quanto mais informações internas o atacante possui, maior pode ser a credibilidade dessas abordagens.
Plantas de data centers elevam preocupação
Um dos aspectos mais sensíveis da alegação envolve documentos relacionados à própria infraestrutura física da CyrusOne.
Entre os arquivos supostamente obtidos estariam plantas de data centers, diagramas elétricos, informações sobre sistemas de segurança e documentação relacionada ao controle de acesso às instalações.
Caso a exposição seja confirmada, o impacto potencial ultrapassa a tradicional preocupação com dados pessoais.
Data centers possuem diversas camadas de segurança física justamente porque hospedam equipamentos pertencentes a diferentes organizações.
Informações detalhadas sobre essas estruturas podem ser consideradas altamente sensíveis.
Registros de acesso também estariam entre os arquivos
Os criminosos também afirmam possuir documentos associados ao controle físico das instalações.
Isso incluiria relatórios relacionados a crachás, formulários de acesso aos data centers e registros associados a chaves físicas.
Esse tipo de material pode exigir uma resposta diferente daquela adotada em um vazamento convencional.
Uma empresa pode redefinir uma senha comprometida em poucos segundos.
Mas quando informações relacionadas à segurança física são expostas, pode ser necessário revisar permissões, substituir credenciais, alterar procedimentos e reavaliar controles de entrada.
ShinyHunters exige US$ 13 milhões
O grupo teria estabelecido uma exigência de US$ 13 milhões para evitar a publicação dos dados.
A CyrusOne teria se recusado a realizar o pagamento, levando os criminosos a aumentar a pressão com ameaças de divulgação do material.
Esse modelo é característico das atuais operações de extorsão baseada em roubo de dados.
Nem sempre os criminosos precisam criptografar servidores.
Eles podem simplesmente copiar informações confidenciais e ameaçar publicá-las caso a vítima não pague.
Extorsão está mudando o conceito de ransomware
Durante anos, ransomware tornou-se praticamente sinônimo de arquivos criptografados.
O invasor entrava na rede, bloqueava servidores e exigia dinheiro para fornecer uma chave de recuperação.
O modelo evoluiu.
Muitos grupos perceberam que empresas com bons backups poderiam simplesmente restaurar os sistemas e recusar o pagamento.
A resposta dos criminosos foi adicionar uma segunda arma: roubar os dados antes de criptografá-los.
Algumas operações atualmente sequer precisam implantar ransomware tradicional.
O simples risco de exposição de informações estratégicas pode ser suficiente para criar enorme pressão sobre a vítima.
Data centers representam alvos extremamente valiosos
O setor atingido torna o caso particularmente relevante.
Empresas como a CyrusOne operam instalações utilizadas para hospedar infraestrutura tecnológica de diferentes clientes.
Esses ambientes podem conter servidores responsáveis por aplicações corporativas, serviços financeiros, plataformas digitais, telecomunicações e diferentes cargas críticas.
Isso não significa que comprometer sistemas administrativos de uma operadora automaticamente entregue acesso aos servidores de seus clientes.
São ambientes e camadas de segurança diferentes.
Mas informações sobre instalações, funcionários, fornecedores e controles internos podem representar inteligência valiosa para criminosos interessados em ataques posteriores.
O risco pode chegar à cadeia de fornecedores
Incidentes desse tipo também mostram como a segurança digital deixou de ser uma questão limitada à própria empresa.
Uma organização pode possuir controles extremamente avançados e ainda assim estar exposta através de fornecedores.
Data centers, plataformas SaaS, empresas de suporte, sistemas de identidade e prestadores terceirizados possuem algum nível de relacionamento com diferentes organizações.
Quando um desses fornecedores sofre um incidente, clientes precisam determinar rapidamente se suas próprias informações estavam entre os dados comprometidos.
É o chamado risco de terceiros, hoje uma das maiores preocupações da segurança corporativa.
ShinyHunters possui histórico de grandes operações
O nome ShinyHunters já apareceu associado a diferentes ataques de grande repercussão.
O grupo tornou-se conhecido por roubar grandes volumes de informações e utilizar os dados como instrumento de extorsão.
Nos últimos anos, operações associadas ao grupo atingiram ambientes corporativos e serviços em nuvem utilizados por grandes organizações.
Uma das características recorrentes dessas campanhas é explorar credenciais e acessos corporativos para alcançar plataformas SaaS e extrair grandes bases de informações.
Nuvem tornou identidade um novo perímetro de segurança
O modelo também revela uma mudança importante na cibersegurança.
Antigamente, o principal objetivo de uma organização era proteger sua rede interna.
Hoje, grande parte dos dados está distribuída entre Salesforce, Microsoft 365, SharePoint, plataformas de colaboração e dezenas de outros serviços online.
Nesse ambiente, a identidade do funcionário passa a funcionar como uma espécie de chave para a infraestrutura corporativa.
Se criminosos conseguem roubar credenciais, tokens ou sessões autenticadas, podem acessar grandes quantidades de informações sem necessariamente explorar uma vulnerabilidade tradicional.
É por isso que ataques de engenharia social continuam funcionando mesmo em organizações tecnologicamente avançadas.
MFA sozinho pode não resolver
Autenticação multifator continua sendo uma proteção fundamental, mas grupos especializados desenvolveram maneiras de tentar contorná-la.
Ataques de phishing em tempo real podem capturar códigos temporários.
Criminosos também podem tentar convencer funcionários a aprovar solicitações de autenticação ou utilizar páginas falsas extremamente semelhantes às plataformas legítimas.
Por isso, empresas vêm migrando para mecanismos resistentes a phishing, incluindo passkeys e chaves físicas de segurança.
O objetivo é tornar mais difícil transformar uma simples interação com o funcionário em acesso completo à conta.
Incidente pode exigir revisão também da segurança física
Se as alegações sobre os arquivos roubados forem confirmadas, a resposta da CyrusOne poderá precisar ultrapassar os limites da equipe de TI.
Documentos contendo plantas, controles de acesso, chaves e informações de instalações podem exigir participação de equipes responsáveis pela segurança física dos data centers.
Isso significa revisar quem possui acesso às instalações, quais credenciais permanecem válidas e quais informações estratégicas foram potencialmente expostas.
A convergência entre segurança física e cibersegurança fica particularmente evidente em empresas responsáveis por infraestrutura crítica.
Confirmação será fundamental para determinar impacto real
Apesar da gravidade das alegações, existe uma distinção importante.
A presença da CyrusOne em um site de extorsão não comprova, por si só, todos os detalhes apresentados pelos criminosos.
Grupos desse tipo possuem interesse financeiro direto em aumentar a pressão sobre suas vítimas e podem exagerar volumes ou impactos.
A dimensão real do episódio dependerá da investigação da companhia e de eventuais informações divulgadas posteriormente.
Até lá, números como os 12,9 milhões de registros e os 645 GB de arquivos devem ser tratados como alegações atribuídas aos invasores.
Ataque mostra que infraestrutura digital também depende de informação física
O episódio deixa uma lição particularmente relevante para o setor de data centers.
Quando pensamos na segurança dessas instalações, normalmente imaginamos firewalls, criptografia, sistemas de detecção e proteção de servidores.
Mas um data center também depende de portas, crachás, câmeras, sistemas elétricos, equipes de manutenção, procedimentos internos e controles físicos.
Se informações detalhadas sobre essas estruturas forem roubadas, um incidente digital pode criar riscos muito além dos próprios computadores.
É justamente por isso que o possível comprometimento da CyrusOne merece atenção: não se trata apenas da quantidade de dados alegadamente roubados, mas do tipo de infraestrutura que esses documentos podem descrever.
