Robinhood anunciou que seu aplicativo popular sofreu uma violação de dados, resultando no vazamento de nomes, endereços de e-mail e outras informações de mais de 7 milhões de usuários.
Em um comunicado na segunda-feira, Robinhood disse que descobriu o incidente em 3 de novembro, dizendo que um "terceiro não autorizado" conseguiu obter as informações pessoais de milhões de clientes Robinhood. A empresa confirmou que nenhum SSN, detalhes de contas bancárias ou informações de cartão de crédito foram expostas.
“A parte não autorizada projetou socialmente um funcionário de suporte ao cliente por telefone e obteve acesso a determinados sistemas de suporte ao cliente. Neste momento, entendemos que a parte não autorizada obteve uma lista de endereços de e-mail de aproximadamente cinco milhões de pessoas e nomes completos de um grupo diferente de aproximadamente dois milhões de pessoas", disse a empresa.
Robinhood admitiu o fato de que durante o ataque, informações sobre 7 milhões de clientes vazaram e eles foram informados por e-mail. A violação vazou endereços de e-mail de cerca de 5 milhões de clientes, com nomes completos e DOBs vazados de cerca de 2 milhões de clientes.
Durante o comunicado de imprensa, Robinhood também indicou que a violação pode ter vazado nomes, códigos postais e datas de nascimento de cerca de 310 pessoas e “detalhes da conta” de cerca de 10 clientes. A empresa garantiu que nenhum detalhe de conta bancária ou informação de cartão de crédito seja exposto.
Robinhood também disse que os cibercriminosos por trás do ataque ameaçaram a empresa e exigiram “um pagamento de extorsão”. Eles não confirmaram se pagaram o resgate, mas Robinhood entrou em contato com as agências de aplicação da lei e contratou uma empresa de segurança cibernética Mandiant.
O diretor de tecnologia da Mandiant, Charles Carmakal, em comunicado à Bloomberg, disse acreditar que os cibercriminosos por trás do ataque ” continuarão a atacar e extorquir outras organizações nos próximos meses “.
Robinhood foi multado pela Autoridade Reguladora do Setor Financeiro dos EUA em julho por causar danos a milhões de clientes como resultado de falhas no sistema, incluindo uma grande interrupção em março de 2020. Eles também foram acusados de enviar “informações falsas e enganosas” aos clientes.
A empresa então entrou com pedido de abertura de capital e as violações de dados ocorreram apenas três meses após sua primeira oferta pública. A mesma tendência continuou em violações de dados recentes, após a violação de dados do Twitch em outubro e a violação de dados da T-Mobile em setembro.
Bob Rudis, cientista-chefe de dados da Rapid7, disse que Robinhood também foi vítima de um ataque cibernético em 2020, em entrevista ao ZDNet. Ele também disse que a maioria das organizações se concentra em ataques de ransomware, enquanto essas violações de dados tradicionais que expõem nomes, endereços de e-mail e metadados podem ser igualmente prejudiciais. Ele diz que essas informações são usadas em campanhas de roubo de identidade e phishing.
Rudis também recomendou que os clientes do RobinHood sejam extremamente cuidadosos e usem senhas exclusivas para seus aplicativos em nuvem. Também é recomendável habilitar a MFA em suas contas para fortalecer a segurança.