Hacker põe à venda dados de brasileiros atribuídos ao Athletico Paranaense e à plataforma de educação Geekie

Um conhecido vendedor de dados roubados colocou à pacotes com registros de 17 organizações e sites. Dois pacotes foram atribuídos a marcas brasileiras: o menor deles, com 162 mil registros, é do Athletico Paranaense, enquanto o maior – com mais de 8 milhões de registros – é atribuído à Geekie, uma plataforma de educação e consultoria pedagógica que diz já ter atendido 12 milhões de alunos.

Para comprovar a autenticidade da oferta, o hacker publicou “amostras” com pequenos recortes das informações roubadas. Os dados, de acordo com o vendedor, incluem nomes, CPFs, datas de nascimento e números de telefone.

No caso do Athletico Paraense, não há número de telefone, mas as senhas no banco de dados estavam protegidas com a tecnologia MD5, a mesma encontrada no banco de dados do LinkedIn, vazado em 2012.

Essa proteção é considerada defasada, e as senhas protegidas com ela devem ser trocadas imediatamente. Também há informações sobre a escolaridade de alguns usuários cadastrados.

Além dos dados brasileiros, os outros 15 pacotes trazem informações extraídas de sites dos Estados Unidos, México, Reino Unido, Alemanha, Egito, Tailândia, Índia, Indonésia, Itália, Vietnã, Cingapura e Hong Kong.

O que dizem a Geekie e o Athletico

A Geekie informou estar “tomando todas as previdências cabíveis, como a contratação de apoio especializado técnico e jurídico”.

A companhia também se comprometeu a comunicar o caso a todos os possíveis usuários afetados e ressaltou que “nenhum dado relacionado à aprendizagem dos estudantes foi exposto”. Um endereço de e-mail (compliance@geekie.com.br) foi disponibilizado para responder dúvidas.

“Tratamos os dados dos nossos usuários com absoluto zelo e trabalhamos continuamente para aperfeiçoar a segurança dessas informações de forma a inibir ataques criminosos dessa natureza”, diz a nota da Geekie.

O Athletico Paranaense, após ser procurado pelo blog, publicou um comunicado em seu site, mas não respondeu se as pessoas que tiveram suas informações vazadas serão comunicadas individualmente.

O clube informou que a invasão ocorreu em 2018 e que “mudou a maneira como são feitos o armazenamento e o tratamento de dados, demandando esforços e investimentos constantes para garantir a máxima segurança da informação, sempre aliado com as melhores práticas e conformidades com a Lei n. 13.709/2018 – LGPD”.

Embora o vendedor e o clube aleguem que a invasão ocorreu em 2018, há referências ao ano de 2019 na amostra de dados publicada.

Lei Geral de Proteção de Dados

A Lei Geral de Proteção de Dados no Brasil (LGPD) entrou em vigor no dia 18 de setembro após diversos adiamentos. A legislação estabelece regras e punições para o tratamento de dados realizado para diversas finalidades, inclusive pelo próprio governo, por empresas e para fins acadêmicos.

A aplicação das multas ligadas à LGPD está suspensa até agosto 2021 para permitir a estruturação da Agência Nacional de Proteção de Dados (ANPD), o órgão fiscalizador criado para garantir o cumprimento da lei. Segundo a lei, essas multas podem chegar a R$ 50 milhões.

De acordo com a lei, “o controlador [pessoa natural ou jurídica responsável pelos dados] deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares”.