Um “erro humano massivo” desencadeou o que poderá ser o maior ataque cibernético de sempre ao setor de caridade do Reino Unido.
Cerca de 1.000 instituições de caridade foram hackeadas, incluindo Breast Cancer UK, National Ballet, Historic Buildings and Palaces e Molly Rose Foundation.
Os cibercriminosos visaram o Beacon CRM, que fornece software de gerenciamento de clientes para o setor de caridade.
Acredita-se que a empresa tenha publicado acidentalmente uma chave de acesso online que permitiu que hackers copiassem o banco de dados.
O erro significa que os nomes e dados de contacto de milhões de apoiantes de instituições de caridade poderiam ter sido roubados, no que os especialistas descreveram como uma enorme “coisa de trapaça”.
Quase 1.000 instituições de caridade hackeadas, incluindo Breast Cancer UK, o National Ballet, edifícios e palácios históricos e a Molly Rose Foundation
Jack Moore, da empresa de segurança cibernética ESET, disse que foi um enorme erro humano.
Beacon diz que discorda desta interpretação.
As informações de pagamento não foram comprometidas. Mas os especialistas em segurança alertam que os hackers lançarão ataques sofisticados de phishing usando detalhes roubados, incluindo detalhes doados por vítimas armadas.
As vítimas são aconselhadas a alterar suas senhas e ficar atentas a e-mails fraudulentos ou textos que possam conter links maliciosos.
Há receios de que os idosos possam ser particularmente vulneráveis porque são muitas vezes doadores generosos.
Beacon tem 1.000 clientes no setor de caridade, incluindo Girlguiding, Kidney Care UK, a British Deaf Association, várias instituições de caridade do NHS e de resgate de animais e Blesma, uma organização que apoia amputados.
Ainda não se sabe quantas pessoas foram afetadas pela violação de dados.
Mas a Beacon aconselha todos os seus clientes a presumirem que foram hackeados.
Edifícios e Palácios Históricos, antiga Sociedade de Monumentos Antigos, disse aos membros que os dados roubados poderiam incluir “seu nome, detalhes de contato, preferências de contato, histórico de associação ou doação, registros de ajuda para presentes, reservas de eventos, correspondência ou notas relacionadas ao seu relacionamento conosco e, para alguns indivíduos, informações de gênero e nascimento”.
O English National Ballet e a Molly Rose Foundation, uma instituição de caridade de segurança online, emitiram declarações alertando que nomes, endereços, detalhes de contato e registros de doadores poderiam ser roubados.
Em uma atualização, a Beacon disse suspeitar que foi hackeada depois que uma chave de acesso da Amazon Web Services (AWS) foi “potencialmente exposta” online.
A AWS fornece dados e serviços em nuvem para milhões de clientes em todo o mundo.
Alan Woodward, professor de segurança cibernética da Universidade de Surrey, disse que parecia que Bacon havia exposto inadvertidamente a chave como parte do código de seu site.
“Isso não deveria ter acontecido”, disse ele. ‘É uma trapalhada, para usar um termo técnico.’
Ele acrescentou: “Normalmente, antes que esse tipo de código seja publicado, existem ferramentas automatizadas para garantir que esse tipo de coisa não aconteça. Mas neste caso, claramente não aconteceu.’
O professor Woodward disse que o ataque foi significativo porque atingiu uma organização que “abrange muitas instituições de caridade ao mesmo tempo”, criando um efeito “multiplicador de força”.
Ele acrescentou: “Não tenho conhecimento de nada que tenha atingido (o setor) tão duramente como isto”. ‘Poderia ser maior do que qualquer coisa que já existiu.’
Kevin Curran, professor de segurança cibernética na Universidade de Ulster, disse: “Muitas organizações criminosas têm como alvo os gestores de TI porque sabem que detêm as chaves do reino”.
Ele alertou que uma “porcentagem significativa” dos dados roubados seria de “pessoas idosas” que são conhecidas por serem “generosas em doações”.
Kevin Curran, professor de segurança cibernética da Universidade de Ulster, alertou que uma “porcentagem significativa” de dados roubados seria de “pessoas idosas”.
A Unidade de Crimes Cibernéticos do Met e o Gabinete do Comissário de Informação (ICO) estão investigando a violação, que ocorreu entre 27 e 31 de julho.
A Beacon, com sede em Londres, foi fundada em 2017 para ajudar instituições de caridade com seus bancos de dados.
Ele carrega credenciais de segurança cibernética em seu site, juntamente com um certificado apoiado pelo governo
Um porta-voz disse: “Recentemente, vivenciamos um incidente de segurança cibernética envolvendo acesso não autorizado ao sistema Beacon de dados que processamos em nome de nossos clientes. Contratamos imediatamente a assistência de especialistas externos em segurança cibernética que rapidamente contiveram o incidente
“A segurança dos dados é algo que levamos extremamente a sério e reconhecemos o impacto que este incidente teve nos nossos clientes. Estamos empenhados em apoiá-los, tanto quanto possível, em quaisquer comunicações futuras sobre potenciais impactos nos dados.’
