(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
(41) 99193-1264
Por Interesse_
Por Setor_
Por Segmento_
Em 27 de maio de 2024, um grupo chamado ShinyHunters anunciou em fóruns de crimes cibernéticos que estava vendendo 560 milhões de registros da Ticketmaster.
Nomes, endereços, dados parciais de cartões de crédito. O preço pedido era US$ 500 mil. Nos dias seguintes, vieram os dados do Santander Bank, da AT&T, da Advance Auto Parts, da Neiman Marcus.
Ao fim da campanha, 165 organizações tinham sido comprometidas, com registros de mais de 500 milhões de pessoas exfiltrados e comercializados em redes criminosas.
A pergunta óbvia foi: qual a vulnerabilidade crítica da Snowflake que os atacantes exploraram? A resposta, confirmada por investigações conjuntas da Mandiant e da CrowdStrike, foi desconfortável: nenhuma…
A plataforma Snowflake não foi comprometida, os atacantes simplesmente fizeram login com usuário e senha. As contas não tinham autenticação multifator ativa.
Em outras palavras, credenciais válidas, roubadas anos antes por malware de infostealer, estavam guardadas em dumps de dados criminosos esperando o momento certo para serem usadas. Isso foi há dois anos atrás e 165 empresas pagaram o preço por um controle de segurança que poderia ter sido ativado em minutos.
A Snowflake é uma plataforma de DataWarehousing e Analytics em nuvem usada por milhares de empresas no mundo para armazenar e processar grandes volumes de dados sensíveis, o que a tornava um alvo de alto valor para qualquer grupo com acesso a credenciais corporativas em escala.
O grupo responsável pela campanha, designado pela Mandiant como UNC5537 e operando publicamente como ShinyHunters em fóruns criminosos, tinha como método central a compra e uso de logs de infostealer malware.
Esses malwares, como Vidar, RISEPRO e LummaC2, infectam silenciosamente dispositivos corporativos e capturam credenciais armazenadas em browsers, gerenciadores de senha e arquivos locais. Os logs são então vendidos em marketplaces criminosos por valores baixos, às vezes menos de dez dólares por conjunto de credenciais.
A investigação da Mandiant identificou que boa parte das credenciais usadas nos ataques havia sido coletada por infostealers desde 2020, quatro anos antes dos ataques.
As credenciais nunca foram rotacionadas. As contas nunca foram desativadas. O MFA nunca foi habilitado. Quando o UNC5537 tentou o login, o acesso foi concedido sem fricção.
Entre abril e junho de 2024, o grupo conduziu exfiltração ativa de dados de aproximadamente 165 organizações clientes da Snowflake. A AT&T perdeu metadados de chamadas e mensagens de texto de praticamente todos os seus clientes americanos, um volume tão sensível que o Departamento de Justiça dos EUA pediu à empresa que adiasse a divulgação por motivos de segurança nacional.
A AT&T pagou US$ 370 mil de resgate tentando garantir a exclusão dos dados. A Ticketmaster teve 560 milhões de registros de clientes expostos. O Santander Bank, 30 milhões.
Por fim, a campanha gerou mais de US$ 2 milhões em extorsões diretas e dezenas de processos judiciais contra as empresas afetadas.
A narrativa conveniente seria culpar a Snowflake por não ter exigido MFA dos seus clientes. A plataforma de fato não tornava o MFA obrigatório à época, algo que a empresa reconheceu e corrigiu posteriormente, passando a exigi-lo por padrão para todas as contas criadas a partir de outubro de 2024. Mas atribuir o incidente somente a essa omissão encobre um problema estrutural mais amplo.
Credenciais roubadas por infostealer representaram 47% das intrusões no primeiro semestre de 2024, segundo o relatório Threat Horizons do Google Cloud. A Snowflake não foi um caso isolado.
Foi o mais visível de um padrão que se repete em centenas de organizações que tratam identidade como problema de TI operacional, e não como superfície de ataque estratégica.
Três falhas específicas criaram as condições para a campanha do UNC5537:
A autenticação com usuário e senha permanecia suficiente para acessar ambientes que continham centenas de milhões de registros de clientes.
Habilitar MFA poderia ter bloqueado esses ataques integralmente, segundo especialistas do NCC Group que analisaram o caso.
Senhas comprometidas anos antes permaneciam válidas porque nenhum processo de rotação periódica existia. Contas de terceiros e contratados com acesso histórico nunca foram revisadas ou desativadas.
Sem restrição de IP, qualquer acesso proveniente de qualquer localização era aceito como legítimo desde que a credencial fosse válida. Um login originado de infraestrutura criminosa na Europa passava pelos mesmos critérios que um acesso do escritório corporativo.
A Cloud Security Alliance resumiu o diagnóstico com precisão: controles de IAM insuficientes, ausência de acesso condicional e falta de rotação de credenciais foram os fatores que tornaram o ataque possível.
A sofisticação do UNC5537 estava na escala da operação, não na técnica. A técnica era login com senha. O que permitiu que funcionasse em 165 organizações foi a ausência de controles que existem há mais de uma década.
O caso Snowflake é descrito por especialistas como um dos melhores exemplos da importância de um único controle de segurança na memória recente.
MFA ativo teria bloqueado a campanha inteira, portanto a identidade precisa ser tratada como perímetro de segurança primário em ambientes cloud, onde não existe mais um firewall físico separando o que está dentro do que está fora.
Contas de serviço, credenciais de terceiros, acessos de ex-funcionários, tokens de API não rotacionados: cada uma dessas superfícies representa uma porta que um atacante com logs de infostealer pode tentar.
Os ataques do UNC5537 ocorreram entre abril e junho de 2024. A Snowflake detectou atividade potencialmente não autorizada em 23 de maio, semanas depois do início da campanha.
Nesse intervalo, dados de dezenas de organizações já tinham sido exfiltrados. O monitoramento de logs de autenticação existia. A capacidade de correlacionar comportamentos anômalos em tempo real, como logins de geolocalizações incomuns, volumes atípicos de consulta a tabelas sensíveis ou padrões de acesso fora do histórico estabelecido, não estava operando de forma contínua e integrada.
Visibilidade sem correlação é dado sem contexto algum, é a diferença entre detectar uma anomalia em minutos e descobri-la semanas depois é exatamente o que separa contenção de crise.
A campanha do UNC5537 é considerada uma das maiores intrusões baseadas em credenciais já registradas. Não foi necessário explorar nenhuma vulnerabilidade de dia zero, nenhum exploit de kernel, nenhum ataque de cadeia de suprimentos.
Credenciais válidas, ausência de MFA e falta de monitoramento contínuo foram suficientes para comprometer 165 organizações e expor registros de mais de 500 milhões de pessoas. O custo de prevenção, habilitar MFA e monitorar comportamento de autenticação, é uma fração do custo de resposta a um incidente dessa escala.
A resposta é que a expansão do uso de cloud criou uma superfície de identidade que a maioria das organizações não acompanhou com a mesma velocidade.
Todo novo serviço SaaS contratado gera novas credenciais e cada integração com terceiros cria novos pontos de acesso. Se um funcionário que sai da empresa deixa para trás contas que precisam ser desativadas e raramente são auditadas com a frequência necessária, temos o ambiente perfeito para os criminosos agirem.
Atacantes com acesso a logs de infostealer coletados ao longo de anos encontram nesse ambiente exatamente o que precisam: credenciais válidas para plataformas que a organização usa hoje, com acessos que nunca foram revisados e MFA que nunca foi habilitado.
A próxima campanha no modelo Snowflake já está provavelmente sendo preparada com dados dos mesmos dumps criminosos, usando as mesmas credenciais esquecidas, mirando organizações que ainda não fecharam essas brechas.
Equipes de segurança sobrecarregadas priorizam alertas ativos em detrimento de revisões preventivas. Ferramentas que monitoram partes do ambiente sem integração geram visibilidade fragmentada.
A proliferação de identidades digitais em ambientes multi-cloud cria uma superfície que nenhum processo manual de auditoria periódica consegue cobrir com a frequência que o cenário exige.
Um modelo de operação contínua de segurança muda a dinâmica desse problema de forma estrutural. Managed Security Services (MSS) transforma segurança em operação permanente, com monitoramento 24×7, análise contínua de eventos, correlação de dados entre ambientes e resposta ativa antes que o impacto se expanda.
No caso Snowflake, um modelo MSS estruturado teria capacidade de detectar os sinais que a campanha do UNC5537 deixou antes de a exfiltração se completar: logins de geolocalizações incomuns para aquelas contas, horários de acesso fora do padrão histórico, volumes de consulta a tabelas sensíveis inconsistentes com o comportamento anterior do usuário, acesso proveniente de ASNs suspeitos.
Individualmente, cada um desses eventos pode parecer ruído. Correlacionados pelo SOC Analytics em tempo real, constroem um padrão de comprometimento identificável antes que os dados saiam.
MSS também opera na camada preventiva: gestão de acessos privilegiados com revisão periódica, detecção de credenciais comprometidas circulando em marketplaces criminosos antes que sejam usadas, monitoramento de contas de serviço e de terceiros que costumam ficar fora do radar das auditorias internas.
A combinação de visibilidade contínua com resposta estruturada é o que transforma monitoramento em proteção real.
Leia também:
A Teletex atua há quatro décadas em ambientes onde o custo de um gap de visibilidade se mede em dados de clientes, continuidade operacional e reputação.
O SOC 24×7 mantém monitoramento permanente com analistas dedicados e o SOC Analytics correlacionando eventos de rede, endpoints, cloud e aplicações em tempo real, construindo inteligência comportamental sobre o ambiente e identificando desvios antes que se consolidem em comprometimentos.
Já o Cybercare, sustentado pela metodologia SafeX, mapeia as vulnerabilidades reais do ambiente antes de qualquer implantação, incluindo contas sem MFA, acessos privilegiados não revisados e integrações de terceiros sem controle adequado. Quando uma ameaça é confirmada, os playbooks de resposta do time de CSIRT permitem contenção ativa antes que o raio de impacto se expanda.
O caso Snowflake deixa uma lição que vale para qualquer organização com dados em nuvem: falhas simples na gestão de identidades podem gerar impactos em escala de centenas de milhões de registros.
Segurança contínua e integrada com visibilidade sobre identidades e acessos deixou de ser diferencial e passou a ser o requisito mínimo para operar em ambientes cloud com responsabilidade.
Quer mapear como sua empresa está exposta em identidades e acessos e estruturar uma operação de segurança contínua? Fale com um especialista da Teletex e descubra como o Cybercare entrega visibilidade e controle de ponta a ponta.