A plataforma de arrecadação online Vakinha confirmou ter sido vítima de um ataque cibernético que resultou no acesso não autorizado e no vazamento de dados cadastrais de seus usuários.
O incidente de segurança foi identificado no dia 14 de julho. Posteriormente, em 23 de julho, os dados de clientes do serviço foram colocados à venda em um fórum cibercriminoso. Na publicação, o autor do ataque afirmou ter obtido cerca de 18 milhões de registros a partir do acesso não autorizado a uma conta administrativa e realizou a extração automatizada das informações.
-sksa6yqdm4py.jpg)
Como prova de acesso, o criminoso incluiu imagens do sistema restrito invadido e divulgou uma amostra contendo dados de 19 usuários.
Apesar do vazamento, o Vakinha informou em comunicado público à imprensa e em seu site oficial que o ataque não provocou prejuízo financeiro para doadores ou criadores de campanhas.
A empresa garantiu que dados sensíveis, como informações de pagamento, senhas ou dados bancários, não foram expostos nem acessados. As informações atingidas abrangem registros cadastrais, incluindo:
- Nome completo;
- CPF;
- E-mail cadastrado;
- Telefone informado;
- Status do cadastro e data de criação;
- Saldo disponível para saque e valor líquido recebido;
- Histórico de contribuições registradas.
A empresa destacou que parte dessas informações, como os valores arrecadados nas campanhas, já é pública por padrão devido à política de transparência da plataforma. Contudo, informações sobre o saldo disponível para saque não são públicas. Na amostra divulgada pelo invasor, os campos relativos ao saldo disponível para saque constavam zerados.
A exposição de tais dados pode favorecer investidas conhecidas como spear phishing, nas quais criminosos utilizam contatos diretos (por e-mail ou telefone) amparados em dados reais das vítimas para tentar aplicar fraudes e extorquir usuários com saldo disponível.
Nota oficial divulgada pela Vakinha
O Vakinha informa que, apesar de todos os cuidados de segurança da informação, foi vítima de um crime cibernético, que resultou no acesso não autorizado de um invasor a dados cadastrais. Assim que o incidente foi identificado, em 14 de julho, todas as medidas cabíveis foram tomadas para conter o acesso não autorizado.
A empresa ressalta que não houve prejuízo financeiro ou à segurança dos usuários, tampouco acesso a dados sensíveis ou senhas. Além disso, as informações sobre valores arrecadados nas campanhas já são públicas na plataforma, uma vez que o Vakinha trabalha com transparência na divulgação das campanhas. Por isso, não é necessária nenhuma ação por parte dos usuários, que podem continuar utilizando a plataforma normalmente.
A empresa sempre pautou sua relação com usuários e clientes pela transparência, responsabilidade e cuidado com as informações. Por isso, desde a identificação do ocorrido, vem adotando todas as medidas necessárias para apurar o incidente, reforçar os sistemas e proteger os usuários.
As autoridades competentes foram devidamente comunicadas. O caso também está sendo acompanhado por equipes especializadas em segurança da informação e direito digital.
Lamentamos a preocupação que essa situação possa causar e reafirmamos nosso compromisso de agir com responsabilidade, transparência e cuidado.
