Segundo o hacker, o sistema bancário brasileiro não está completamente preparado para a migração massiva para a nuvem, e este tipo de brecha seria uma prova dessa afirmação:
"Estamos quase às vésperas da decisão do grupo de trabalho que definirá as regras e sob quais condições e limites os bancos poderão adotar Cloud Computing em larga escala. Enquanto isso, as FINTECHs se antecipam e nadam de braçada nessa seara, sem esperar a decisão final, e de certa forma pressionando por uma decisão em favor da adoção ampla e pouco restrita da nuvem. Nesse estudo de caso, abordaremos o Banco Inter (antes Banco Intermedium) que por sua vez também está às vesperas de um lançamento de oferta pública inicial (IPO no inglês) na bolsa de valores. Buscando ser um unicórnio FINTECH de fato. Mas estamos prontos para esse salto?", pergunta o hacker antes de detalhar a invasão.
Nome, nome da mãe, número do documento, renda mensal e resposta de segurança de uma das contas vazadas ao TecMundo
No manifesto, John deixa claro que fez contato com o Banco Inter para a correção do problema. Contudo, exigiu uma quantia não revelada para pagamento e alertou que, se em 15 dias não obtivesse uma resposta, revelaria o caso para o público. Neste momento, o banco agiu de maneira correta: como acontece com os ransomwares, a indicação é que PCs sequestrados e extorsões não sejam pagas por pessoas físicas e empresas.
Na segunda-feira passada (30), já foram encontradas supostas indicações da venda dos dados vazados em sites específicos. Um grupo identificado como 'John Carter', de provável ligação com o hacker que enviou os dados ao TecMundo, está vendendo as informações completas e de maneira exclusiva por 10 bitcoins (BTC 10). Neste momento, a unidade do Bitcoin está custando R$ 33 mil: então, os 40 GB podem ser adquiridos por cerca de R$ 330 mil. As informações podem ser encontradas em chans da rede Onion.
Antes de detalhar o que pode ser encontrado no arquivo de 40 GB, o hacker deixa a seguinte mensagem: "Estamos diante de um dos maiores problemas de segurança que um banco pode sofrer, e um dos problemas de maior escala já vistos na história recente dos sistemas bancários brasileiros. Problema grande suficiente para comprometer não só o rating do banco Inter frente ao Banco Central, mas comprometer o rating de todos os bancos digitais, ou bancos clássicos que planejem adotar soluções de cloud computing em grande escala. E claro, potencialmente, afetar o resultado e as recomendações do Banco Central e do working group da Febraban para indicar até que ponto um banco ou uma fintech deve usar recursos de cloud".
Dos 40 GB enviados ao TecMundo, cerca de 30 GB supostamente são dados pessoais dos correntistas do Banco Inter. Por dados pessoais, neste caso, estamos falando de informações pessoais completas, com ficha cadastral, comprovantes, senhas de cartão descriptografadas (antigas e novas, registro de troca de senha), número de cartão e até mesmo CVV e data de expiração/validade dos cartões — com as informações bancárias, em específico, presentes em uma segunda lista, como você vê nas imagens.
Abaixo, você acompanha os tópicos que elencam todas as supostas informações expostas de clientes do Banco Inter — informações na íntegra, como no manifesto recebido
Dados cadastrais, incluindo código de segurança e senha, de todos os quase 400.000 clientes e correntistas do Banco Inter (o TecMundo encontrou 81 mil)
Base de cadastro Mastercard com cadastro completo, incluindo e-mails, telefones, endereço, nome do pai, nome da mãe, documentos, telefone fixo e celular
Senha dos cartões Mastercard, usados para débito, crédito, para segundo fator de autenticação de transações como pagamentos de TED e pagamento de boletos
Fluxo de troca de senha do cartão Mastercard, incluindo senha antiga e senha nova, de todos os clientes, coletado por mais de um mês — "e que ainda está sendo coletado nesse momento", adiciona o hacker
Todos logs transacionais de todas as operações e transações bancárias realizadas por todos os clientes, incluindo valor, conta origem, conta destino a partir de fevereiro, e com algumas recuperações de janeiro;
Todas as transações, sem exceção, realizadas pelo CD Pro (o que eles chamam de conta corrente profissional, mas que na prática é apenas a conta digital PJ, pessoa jurídica). "Como esse sistema já nasceu na AWS, o histórico deles é muito maior, e eu copiei todas as transações de junho de 2017 até março de 2018", adicionou