Record admite que dados pessoais de ex-funcionários também foram vazados

Record admite que dados pessoais de ex-funcionários também foram vazados

No dia 08 de outubro a emissora de televisão Record foi vítima de um ataque hacker. Agora a empresa admitiu, em carta enviada a ex-funcionários, que os dados destes profissionais também foram comprometidos.

Dentre os dados aos quais os hackers tiveram acesso estão documentos de identidade, informações sobre dependentes, valor dos salários e outros dados pessoais e sensíveis. Devido a isso, a emissora pode sofrer processos pesados, especialmente se o vazamento dos dados ocasionar prejuízos financeiros aos envolvidos.

Leia também
Grupo hacker que atacou a Record começa a divulgar documentos sigilosos da emissora
Após sofrer ataque hacker, Prefeitura do RJ decide trocar 20 mil computadores

Dados sensíveis de ex-funcionários são expostos

Uma ex-funcionária que trabalhou na Record há quase dez anos tornou pública a carta enviada pela emissora. Você poderá lê-la na íntegra ao final da matéria. Mas a empresa diz que “foi identificado o impacto a uma base legada da área de Recursos Humanos”.

Em outras palavras, os hackers tiveram acesso a algum banco de dados antigo, que contém informações sobre funcionários que já não fazem parte do quadro de profissionais da empresa. De acordo com a própria Record, estes são os dados comprometidos:

  • dados cadastrais para contato e comprovação de identidade;
  • dados de saúde;
  • dados referentes à relação empregatícia, incluindo informações de dependentes;
  • dados sobre filiação sindical;
  • dados financeiros.

Em “dados financeiros” podemos facilmente concluir que se trata de salários. Gabriel Vaquer, que atualmente é colunista no Notícias da TV, um portal da UOL, também recebeu a carta da Rede Record. Ele trabalhou na emissora em 2015. Além de ex-funcionários, dados de funcionários atuais também foram expostos.

Vazamento pode render processo à emissora

Segundo a Lei Geral de Proteção de Dados (LGPD), qualquer controlador ou operador de dados de terceiros tem o dever de indenizar os envolvidos em situações como essa. Danilo Roque, sócio da FAS Advogados na área de Proteção de Dados, explica:

Há, inclusive, uma disposição na LGPD que estabelece a possibilidade de inversão do ônus da prova, ou seja: o titular de dados que tiver sofrido o dano precisará apenas demonstrar verossimilhança nas suas alegações, cabendo ao agente de tratamento provar que esse dano não ocorreu”.

Fernanda Muniz Borges, que atua como advogada trabalhista, também tem uma opinião parecida:

A depender do que ocorreu com este vazamento de dados, seja pelo descumprimento da LGPD em si e danos diretos ao empregado, há possibilidade de ações pelos empregados face à ex-empregadora. O pedido seria potencialmente danos morais ou danos materiais, se houver algum prejuízo financeiro apurável.

A emissora agiu corretamente ao informar o vazamento aos seus ex-funcionários. Apesar da transparência, isso não isenta a empresa de responsabilidade pelo vazamento dos dados. Afinal de contas, ela é a controladora dos dados. Caso se comprove que o vazamento gerou prejuízos aos envolvidos, a empresa pode sim ser processada.

O ataque à Rede Record

O ataque à Rede Record aconteceu no dia 08 de outubro. Ele foi executado pelo grupo hacker BlackCat/Alphv se utilizando de um ransomware. Caso você não saiba, ransomware é um tipo de vírus que “sequestra” o sistema da vítima e criptografa todos os dados. Para desbloquear os sistemas é necessário fazer o pagamento de um resgate.

O valor do resgate cobrado pelo BlackCat à Record foi de US$ 5 milhões, o equivalente a R$ 26 milhões. A emissora indicou que não iria pagar. E seguiu tendo problemas para manter sua programação normal.

No dia 10 de outubro, por exemplo, a empresa não exibiu o programa “Fala Brasil” pois não tinha como editar o jornal. No lugar eles reprisaram alguns episódios da série “Todo Mundo Odeia o Chris”. A situação era tão caótica que alguns funcionários voltaram para casa pois nem conexão com a internet tinha.

Poucos dias depois, a equipe de Tecnologia e Segurança conseguiu restaurar uma parte dos sistemas. Muito por causa dos arquivos de backup, já que os arquivos originais estavam criptografados. E depois de 1 mês da invasão, a Record emitiu um comunicado aos seus funcionários explicando que os dados pessoais foram expostos.

É bom lembrar que na época do ataque os hackers chegaram até a publicar uma série de documentos confidenciais da emissora. Dentre eles, havia até o passaporte da apresentadora Ana Hickmann. Outros documentos consistem em uma planilha de pagamentos de anunciantes e uma lista com dinheiro oriundo do Governo Federal.

Grupo BlackCat/Alphv já está sendo investigado pelo FBI

O grupo hacker BlackCat/Alphv é bastante perigoso. Ele está sendo investigado até pelo FBI. Em abril de 2022, por exemplo, o FBI emitiu um alerta sobre esse grupo hacker. Na época eles já haviam atacado mais de 60 organizações em todo o mundo.

O BlackCat/Alphv é um dos muitos grupos hackers que atuam com um modelo de negócio chamado Raas. Em tradução literal é o Ransomware como serviço. Ou seja, alguém cria o código malicioso do ransomware e “aluga” o vírus para que outros hackers possam atacar empresas e organizações. Em troca, eles pagam de 10% a 20% de comissão caso os resgates sejam pagos.

O FBI também informa que o grupo BlackCat/Alphv primeiro rouba os dados da vítima antes de executar o ransomware. Assim ele tem mais poder de barganha sobre a vítima. Os dados criptografados pelo ransomware são tanto os arquivos locais como os salvos em nuvem.

Em geral, o valor do resgate é bem alto, na casa dos milhões de dólares. Além disso, ele não deve ser pago em dinheiro comum, que é facilmente rastreável. Ao invés disso, o pagamento deve ser feito em criptomoedas, como a bitcoin ou Monero. Caso não ocorra o pagamento, os hackers começam a expor os arquivos aos poucos.

Como o grupo BlackCat/Alphv atua?

O FBI também já conseguiu mapear o modus operandi desse perigoso grupo hacker. Primeiramente, os cibercriminosos conseguem acesso ao sistema da vítima através de algum login e senha vazados. Geralmente eles conseguem esse login e senha se utilizando de engenharia social.

O próximo passo é invadir as contas de administrador através do Active Directory, que é uma ferramenta da Microsoft que serve para gerenciar usuários de uma rede.

Por fim, o grupo hacker espalha o ransomware pela rede através do Agendador de Tarefas do Windows. Eles configuram Objetos de Política de Grupo (GPOs) maliciosos e desta forma conseguem espalhar o malware por todos os computadores da rede. Sem falar que o grupo malicioso desativa todos os sistemas de segurança da rede. Embora o grupo atue mais contra sistemas Windows, eles podem adaptar as ferramentas para invadir também distribuições Linux.

Carta enviada à ex-funcionários

Como informado no começo da matéria, a Record enviou uma carta para ex-funcionários que, posteriormente, foi divulgada por uma antiga funcionária. Segue a carta na íntegra:

Prezado(a) [nome do(a) funcionário(a)],

A Record adota como pilares de sua atuação a ética e a transparência no trato com os seus colaboradores.

Conforme já deve ser de seu conhecimento, na madrugada do dia 08/10/2022, a Record foi vítima de um incidente de segurança, que culminou na criptografia de máquinas e servidores no ambiente tecnológico, impactando parte de suas atividades.

Desde que o incidente foi identificado, os protocolos de segurança foram ativados e medidas para minimizar os efeitos e riscos do ocorrido vêm sendo adotadas.

A Record acionou o apoio de consultoria externa especializada para investigar as causas, extensão e consequências do incidente, e a Autoridade Nacional de Proteção de Dados também foi comunicada do evento.

Diante de tais fatos, sobretudo para prevenção a eventuais riscos que o incidente possa lhe acarretar, como o de utilização indevida de seus dados por terceiros para fraudes, é a presente para cientificá-lo(a) que foi identificado o impacto a uma base legada da área de Recursos Humanos, contendo dados pessoais de sua titularidade, como: dados cadastrais para contato e comprovação de identidade, dados referentes à relação empregatícia, incluindo informações de dependentes, dados financeiros, dados de saúde e sobre filiação sindical.

Dentre as medidas complementares, a Record está monitorando a Deep Web e, até o momento, não detectamos a exposição pública dos seus dados pelo infrator.

Com informações: Notícias da TV

Sobre o Autor

Cearense. 34 anos. Apaixonado por tecnologia e cultura. Trabalho como redator tech desde 2011. Já passei pelos maiores sites do país, como TechTudo e TudoCelular. E hoje cubro este fantástico mundo da tecnologia aqui para o HARDWARE.
Leia mais
Redes Sociais:

Deixe seu comentário

X