7,7 milhões expostos na Iris Plaza: a nuvem de terceiros virou o ponto cego da cadeia de dados

7,7 milhões expostos na Iris Plaza: a nuvem de terceiros virou o ponto cego da cadeia de dados

Panorama das últimas 24 horas

O ciclo encerrado nesta segunda-feira (9) tem um fio condutor claro: quase nenhum incidente relevante começou dentro do perímetro da vítima. A japonesa Iris Ohyama confirmou que dados de até 7,7 milhões de pessoas ligadas ao seu marketplace podem ter sido obtidos por acesso indevido a um serviço de nuvem operado por terceiro. No Reino Unido, a autoridade de proteção de dados publicou uma reprimenda que mostra como uma conta de teste esquecida e protegida pela senha "Password1" abriu caminho para um ataque de ransomware. Na Universidade de Waseda, a invasão só apareceu durante uma revisão de segurança motivada por uma vulnerabilidade em PHP. E, no Brasil, a Operação Verifact expôs o outro lado da automação: robôs de força bruta bancária sustentados por dezenas de milhares de IPs rotativos.

Iris Ohyama: o arquivo suspeito na nuvem do Iris Plaza

A Iris Ohyama, fabricante japonesa de bens domésticos que opera o e-commerce Iris Plaza , informou que um terceiro não autorizado acessou um serviço de nuvem externo utilizado pela loja online. A empresa detectou o problema no fim de outubro e, na primeira comunicação, suspendeu preventivamente o site com poucos detalhes. A atualização mais recente afirma que foi localizado um arquivo suspeito no ambiente de nuvem contratado de terceiros.

Os números divulgados até agora:

aproximadamente 5,8 milhões de membros registrados e ex-membros da plataforma;

cerca de 1,9 milhões de não membros que passaram pelo cadastro de compras;

total potencial de 7,7 milhões de pessoas afetadas.

O conjunto de dados exposto inclui nome completo, endereço residencial, telefone, e-mail, gênero, data de nascimento e senhas de conta armazenadas em formato criptografado . Dados de cartão de crédito não estariam armazenados no serviço comprometido — informação relevante, mas que não elimina o risco: registros de identidade combinados com endereço e data de nascimento são matéria-prima clássica para fraude de engenharia social e para a montagem de bases de credential stuffing .

Mitigações recomendadas: a empresa afirma ter bloqueado o acesso e iniciado investigação forense, além de reforçar controles de acesso ao ambiente de nuvem. Para usuários, o alerta prático é a troca preventiva de senha — especialmente se a mesma combinação for reutilizada em outros serviços — e a desconfiança de mensagens que citem a marca, o que é padrão em campanhas de phishing deflagradas nas semanas seguintes a vazamentos desse porte. Do lado corporativo, o caso reforça uma pergunta que vale para qualquer e-commerce: qual é o inventário de serviços de terceiros com acesso a dados pessoais e quem revisa as permissões desses agentes?

Waseda: uma invasão descoberta por acidente durante um patch de PHP

A Universidade de Waseda, no Japão, revelou em 9 de novembro que o sistema responsável pelas credenciais de login do portal MyWaseda foi acessado indevidamente por um terceiro. O total alcança 3.342 registros : 81 referentes a docentes (inclusive aposentados), estudantes e ex-alunos, e 3.261 de usuários funcionais. Cerca de 3.281 desses registros contêm senhas em formato criptografado , além de número de matrícula funcional, nome, endereço de e-mail Waseda, departamento e qualificação.

O detalhe técnico mais importante é o tempo de permanência . Os vestígios de acesso não autorizado datam de 31 de agosto de 2026 , e a invasão só foi identificada quando a universidade fez uma varredura nos sistemas internos em resposta a uma vulnerabilidade em PHP . A instituição não confirmou se essa falha foi o vetor real de entrada, mas o episódio mostra que a detecção não veio de um SIEM nem de um alerta de comportamento anômalo — veio de um trabalho de remediação que obrigou a equipe a olhar para os sistemas. Foram cerca de dois meses e meio entre a intrusão e a descoberta.

Como resposta, a Waseda restringiu e suspendeu sistemas, alterou senhas administrativas e interrompeu temporariamente serviços de ex-alunos, incluindo MyWaseda, o e-mail institucional e a emissão de certificados. Estudantes e servidores receberam orientação individual para trocar as senhas do correio institucional. Para times de TI, a lição é operacional: uma campanha de correção de CVE é a melhor oportunidade de aplicar um hunting de comprometimento — revisar logs de autenticação, contas de serviço e sessões antigas enquanto se atualiza o software.

Dameware com CVSS 9,9: quando a ferramenta de suporte vira o pivô

A SolarWinds publicou em 3 de novembro um aviso de segurança elegendo CVE-2026-28336 como crítico, com pontuação 9,9 no CVSS v3. A falha é uma injeção de comando no Dameware, solução de suporte remoto amplamente usada por equipes de help desk, e permite comprometer o host que está sendo controlado remotamente. A exploração exige autenticação — não é um vetor sem credenciais, como no caso do SIMATIC IoT2050 divulgado ontem —, mas o cenário de abuso é especialmente ruim: o atacante precisa apenas de uma conta legítima e de um técnico ativo com sessão remota estabelecida.

O mesmo aviso traz duas falhas secundárias relevantes:

CVE-2026-28335 — estouro de buffer que pode levar à execução remota de código, também autenticado;

CVE-2026-28327 — sequestro de DLL durante o processo de instalação.

A versão corrigida é a Dameware 2026.3.1 ; todas as versões até a 2026.3 estão afetadas. A atualização também resolve problemas em componentes de terceiros, incluindo um estouro no decodificador Brotli ( CVE-2026-111497 ) e uma falha no Apache log4net ( CVE-2026-40021 ) que pode causar perda de registros de log por tratamento de caracteres inválidos. A descoberta é atribuída ao pesquisador Greg Bernatowicz, do Boeing Enterprise Security Red Team. Quem não puder aplicar o patch imediatamente deve restringir quem consegue iniciar sessões remotas e tratar os servidores de suporte como ativos de alto valor, não como utilitários internos.

ICO: a conta de teste com "Password1" e a reprimenda a Ogi Networks e Data Cymru

A investigação do Information Commissioner's Office (ICO) sobre um ataque ocorrido em 1º de novembro de 2024 no Reino Unido resultou em reprimenda formal à Ogi Networks Limited (ONL) e à Local Government Data Unit – Wales (Data Cymru) . O acesso foi obtido por meio de uma conta de teste antiga, esquecida e protegida pela senha "Password1" , a partir da qual os atacantes escalaram até um ataque de ransomware que expôs dados pessoais de cerca de 3.300 pessoas, a maioria crianças .

As falhas apontadas pelo regulador são o tipo de checklist que quase toda organização reconhece e poucas executam:

contas de teste e de serviço não inventariadas nem desativadas após o uso;

ausência de autenticação multifator no acesso administrativo;

revisão de acessos e privilégios insuficiente;

monitoramento e segmentação que não contiveram o movimento lateral.

A reprimenda, sem multa associada, tem valor de precedente: o controlador é responsabilizado por deixar um ativo dormente exposto, mesmo quando o vetor parece trivial.

Brasil: Operação Verifact e a automação do crime bancário

No front doméstico, a Polícia Civil de São Paulo deflagrou em 28 de outubro a Operação Verifact , conduzida pela 2ª Delegacia de Combate a Crimes contra o Comércio Eletrônico (2ª Dcciber), com apoio em Minas Gerais. Segundo a investigação divulgada no fim de semana, o grupo criava robôs de automação que testavam CPFs em massa contra sistemas bancários, alternando milhares de IPs para escapar de filtros antifraude e de limitação de tentativas, e revendia dados e informações de saldo de correntistas. Um suspeito foi preso em Ribeirão Preto e outro é considerado foragido.

O recorte técnico importa mais do que o noticiário policial: trata-se de credential stuffing e enumeração de contas industrializados , com infraestrutura de proxy rotativa. Controles que fazem diferença nesse cenário são rate limiting por dispositivo e por identidade — não apenas por IP —, detecção de correlação entre CPF e origem da requisição, device fingerprinting e resposta adaptativa em vez de bloqueio binário.

Análise de tendência: a confiança terceirizada é o novo perímetro

Quatro histórias diferentes convergem para o mesmo problema. A Iris Plaza não foi invadida necessariamente por falha própria, mas por um ambiente de nuvem contratado. A Waseda descobriu o comprometimento ao remediar uma biblioteca. A ICO puniu empresas por um ativo esquecido em um ambiente compartilhado. E o crime bancário brasileiro mostra que a automação de baixo custo opera em escala industrial com infraestrutura descartável.

Três desdobramentos merecem atenção dos times:

Credenciais continuam sendo o ativo de maior retorno. Senhas criptografadas expostas ainda são valiosas quando o algoritmo é simétrico e a chave reside no mesmo ambiente comprometido.

Tempo de permanência segue alto. Dois meses e meio entre a intrusão e a descoberta, em uma universidade com equipe própria de TI, mostra que visibilidade passa por inventário e por log centralizado, não por ferramenta isolada.

Ferramentas de administração são alvos de primeira linha. Dameware, VPNs e consoles de acesso remoto concentram sessões privilegiadas — um único bypass rende movimento lateral direto.

Conclusão e chamada para ação

O dia não trouxe um zero-day catastrófico, mas trouxe um retrato fiel do risco médio: fornecedores, contas esquecidas e ferramentas de suporte. Ações concretas para esta semana:

aplicar Dameware 2026.3.1 onde houver exposição de help desk;

revisar contas de teste e de serviço em ambientes de nuvem, com expiração automática;

exigir MFA em todos os acessos administrativos de terceiros e registrar quem acessa o quê;

rodar um hunting de sessões e logins antigos em sistemas que acabaram de receber patch crítico;

comunicar usuários afetados por vazamentos com instruções de troca de senha e alerta de phishing.

Se este tipo de análise ajuda sua equipe a priorizar a semana, compartilhe o artigo com o time de segurança e com os responsáveis pelos fornecedores — e assine a newsletter para receber o fechamento diário de vulnerabilidades, vazamentos e incidentes antes da reunião de stand-up.

Fontes