Netshoes e ValeCard: il doppio allarme di sicurezza che il Brasile ha ignorato

In meno di un mese, due nomi noti dell'ecosistema digitale brasiliano sono diventati sinonimo di falla critica nella sicurezza. Netshoes, gigante dell'e-commerce sportivo, ha avuto 38 milioni di record esposti, CPF, numeri di telefono, indirizzi e dati anagrafici completi. ValeCard, piattaforma di benefit aziendali utilizzata da migliaia di imprese nel Paese, è stata sequestrata dal gruppo di ransomware Medusa, che ha esfiltrato 107 GB di dati sensibili e sta richiedendo un riscatto di US$ 500.000. Non si tratta di incidenti isolati. Sono sintomi di un'infrastruttura dati che il Brasile continua a considerare una voce di spesa, non un asset critico.

Netshoes: la seconda perdita in otto anni

La storia conta: Netshoes era già stata multata dal Ministério Público di São Paulo nel 2019, dopo una precedente fuga di dati che aveva esposto i dati di 2 milioni di clienti. All'epoca, l'azienda pagò R$ 500.000 in accordo e promise di rafforzare i controlli interni. Sei anni dopo, il numero di record esposti è salito a 38 milioni, diciotto volte tanto.

Ciò che rende questo caso particolarmente grave non è solo il volume. È la natura dei dati: CPF, numero di telefono e indirizzo di residenza sono la triade di base per l'ingegneria sociale, le frodi finanziarie e il phishing mirato. Con queste tre informazioni, un agente malevolo può costruire un profilo sufficientemente convincente da ingannare anche utenti attenti. La combinazione è materia prima per truffe di SIM swap, apertura di conti fraudolenti e perfino crimini d'identità più sofisticati.

Il punto di falla non è ancora stato reso pubblico dall'azienda, ma i pattern di questo tipo di incidente sulle piattaforme e-commerce indicano vettori noti: API mal configurate, credenziali compromesse in sistemi legacy e mancanza di monitoraggio attivo degli accessi anomali ai database clienti.

Cosa cambia per chi ha acquistato su Netshoes

Se sei registrato sulla piattaforma, considera i tuoi dati compromessi. Cambia le password riutilizzate, attiva l'autenticazione a due fattori nei servizi finanziari collegati al tuo CPF e monitora il tuo nome presso i principali bureaus di credito. Per le aziende che usano Netshoes come canale di benefit o per regali corporate, rivedete i contratti di condivisione dati con terze parti, la responsabilità solidale in caso di uso improprio esiste nel testo della LGPD.

ValeCard e il gruppo Medusa: ransomware con esfiltrazione doppia

L'attacco a ValeCard segue una tendenza che i gruppi di ransomware più sofisticati hanno consolidato negli ultimi due anni, la cosiddetta 'estorsione doppia'. Primo, i dati vengono esfiltrati. Poi, i sistemi vengono criptati. La vittima perde l'accesso operativo e riceve la minaccia di pubblicazione dei dati se non paga.

Il gruppo Medusa, attivo dal 2021 con vittime documentate in oltre 20 paesi, è noto per gestire un proprio portale nella dark web dove pubblica conti alla rovescia e campioni dei dati sottratti. Nel caso di ValeCard, i 107 GB esfiltrati probabilmente includono dati dei beneficiari, buste paga, registrazioni di carte aziendali e informazioni sulle aziende clienti. Il riscatto richiesto, US$ 500.000, è relativamente contenuto per gli standard del gruppo, il che suggerisce che la negoziazione potrebbe essere ancora in corso.

Cosa cerca il Medusa e come entra

Il vettore di ingresso più comune per Medusa è il protocollo RDP esposto (Remote Desktop Protocol) con credenziali deboli o riutilizzate, seguito dall'exploit di vulnerabilità in VPN aziendali non aggiornate. Una volta all'interno della rete, il gruppo effettua movimenti laterali silenziosi per giorni o settimane prima di avviare la crittografia, tempo sufficiente per mappare ed esfiltrare gli asset più preziosi.

Nessuna di queste tecniche è nuova. Tutte hanno contromisure documentate. Il problema è che molte medie imprese brasiliane non le hanno implementate in modo coerente.

Cosa le PMI brasiliane devono cambiare subito

Questi due incidenti offrono una lezione pratica e diretta per aziende che non sono necessariamente grandi corporation:

I backup immutabili non sono opzionali. La strategia 3-2-1 (tre copie, due supporti diversi, una offsite) deve includere almeno una copia immutabile, cioè che non possa essere modificata o cancellata neanche da un amministratore compromesso. Soluzioni come Veeam con Object Lock su S3, o Rubrik Security Cloud, offrono questa protezione con un costo accessibile per imprese di medie dimensioni.

Il monitoraggio dell'esfiltrazione è diverso dal monitoraggio delle intrusioni. Molte aziende investono in firewall e antivirus, ma non hanno visibilità su ciò che esce dalla rete. Strumenti di DLP (Data Loss Prevention) e analisi del traffico in uscita, come Darktrace o Microsoft Purview, rilevano trasferimenti anomali di grandi volumi di dati prima che il ransomware venga attivato.

Il rischio dei terzi è il tuo rischio. Sia Netshoes sia ValeCard sono fornitori diretti di altre aziende. Se usi piattaforme di benefit, e-commerce corporate o qualsiasi SaaS che conserva dati dei dipendenti, devi includere questi fornitori nel tuo programma di gestione del rischio dei terzi (TPRM). Questo significa questionari di sicurezza, clausole contrattuali per la notifica degli incidenti e, idealmente, audit periodici.

La LGPD ha i denti, e stanno crescendo

L'ANPD (Autoridade Nacional de Proteção de Dados) ha aperto una consultazione pubblica nel 2024 per la revisione del suo regolamento sulle sanzioni. Lo scenario che si profila è fatto di multe progressive e procedure più rapide. Le aziende che hanno subito incidenti precedenti e non possono dimostrare progressi documentati nei controlli di sicurezza affrontano un rischio regolamentare in aumento, e Netshoes, con il suo storico del 2019, è in una posizione particolarmente vulnerabile sotto questo profilo.

Per i leader aziendali in Brasile, la domanda non è più "verremo attaccati?". La domanda è: quando saremo attaccati, quanto perderemo, e quanto saremo in grado di dimostrare di aver fatto il possibile?

Queste due domande definiscono la differenza tra un incidente gestibile e una crisi esistenziale.