Pathao confirma roubo de dados pessoais em meio a alegações não verificadas de exposição de 19 milhões de contas

Roubo de dados confirmado, mas a dimensão ainda é desconhecida

A Pathao confirmou que invasores obtiveram nomes, endereços de e-mail e números de telefone de alguns usuários durante um incidente de cibersegurança em 4 de outubro, que interrompeu suas operações em Bangladesh e no Nepal. A empresa não confirmou uma alegação muito mais ampla de que criminosos roubaram 133 gigabytes de informações de 19.063.918 contas e exigiram 400.000 USDT para impedir a divulgação dos dados.

A distinção é importante: a Pathao reconhece o roubo de algumas informações pessoais, enquanto a suposta exposição de documentos de identificação, transações financeiras, senhas e dados de localização permanece sem confirmação. A empresa não informou quantas pessoas foram afetadas, como os invasores acessaram seus sistemas nem por quanto tempo tiveram acesso.

Em comunicado publicado em 7 de outubro em sua página verificada no Facebook, a Pathao confirmou pela primeira vez, publicamente, que informações pessoais haviam sido obtidas. A empresa descreveu os dados que, segundo sua apuração, chegaram aos invasores:

Entendemos que certos dados pessoais, incluindo nomes, endereços de e-mail e números de telefone, foram obtidos por agentes mal-intencionados.

A Pathao informou que tirou temporariamente do ar sistemas críticos após detectar o incidente, restabeleceu os serviços pouco depois e contratou especialistas externos em cibersegurança. Alguns usuários ainda poderiam enfrentar problemas intermitentes enquanto continuava o trabalho para estabilizar a plataforma.

O incidente vai além de um único serviço. A Pathao opera serviços de transporte e entrega, além de produtos financeiros, como a carteira digital Pathao Pay e o serviço Pathao Pay Later. Essa variedade torna essencial estabelecer quais sistemas e registros foram afetados, mas a existência de produtos financeiros não comprova, por si só, que informações de pagamento foram roubadas.

Em 9 de outubro, a empresa ainda investigava as alegações sobre o conjunto de dados mais amplo. Ela confirmou interrupções nos dois países, mas não informou quantos usuários ou registros foram afetados em cada um.

Como o incidente se desenrolou

O relato público abrange a interrupção inicial, o reconhecimento da empresa e as respostas posteriores sobre o suposto conjunto de dados. As datas indicam quando o incidente foi detectado e discutido publicamente, não o período total durante o qual os invasores tiveram acesso.

• 4 de outubro: a Pathao detectou um incidente de cibersegurança, enfrentou interrupções nos serviços e tirou temporariamente do ar sistemas críticos, por precaução.
• 7 de outubro: a Pathao reconheceu publicamente que algumas informações pessoais haviam sido obtidas. Uma captura de tela de uma suposta publicação em um fórum criminoso também circulou no X, descrevendo um roubo muito maior e uma exigência de resgate.
• 9 de outubro: novas respostas da empresa confirmaram que as operações em Bangladesh e no Nepal foram afetadas, enquanto o suposto volume de dados, a quantidade de registros e as categorias de informações sensíveis continuavam sob investigação.

A Pathao informou que os serviços foram retomados pouco depois da interrupção. A empresa não divulgou a duração exata da interrupção nem um relato técnico da recuperação. Restabelecer o acesso a um aplicativo e concluir a investigação de uma violação são tarefas distintas: os serviços podem voltar enquanto os investigadores continuam apurando quais informações foram levadas.

O que o suposto conjunto de dados contém

A alegação criminosa descreve aproximadamente 250 milhões de linhas de banco de dados distribuídas por 591 tabelas, com um conjunto principal de dados de contas contendo 19.063.918 registros. Uma linha de banco de dados é uma entrada individual, enquanto uma tabela reúne entradas de determinado tipo. Várias linhas podem estar relacionadas a uma mesma pessoa, portanto 250 milhões de linhas não significariam 250 milhões de usuários afetados.

As supostas informações das contas incluem nomes, números de telefone, endereços de e-mail, dados de senhas, informações de GPS, identificadores do Facebook e tokens de acesso. Um token de acesso é uma credencial digital que pode permitir que um aplicativo acesse uma conta ou serviço sem solicitar uma senha repetidamente.

Os relatos descrevem partes da alegação de maneiras diferentes. Um menciona senhas com hash, enquanto outro se refere simplesmente a senhas. O hash transforma uma senha em uma representação armazenada, em vez de manter seu texto legível, embora a exposição ainda possa gerar riscos dependendo de como ela foi protegida. A Pathao não confirmou que nenhum desses formatos tenha sido levado.

A estrutura também é descrita de formas diferentes: alguns relatos chamam as 591 unidades de tabelas de banco de dados, enquanto outro as descreve como bancos de dados ou repositórios de dados. Esses termos não são intercambiáveis. Sem um conjunto de dados autenticado ou uma conclusão técnica, não é possível estabelecer a estrutura exata.

Os supostos registros de identificação incluem 19.059.387 números de carteiras nacionais de identidade e 19.046.583 registros de carteiras de habilitação. As alegações também incluem cerca de 5,7 milhões de endereços residenciais e, em alguns relatos, aproximadamente 19 milhões de fotos de usuários. A Pathao não confirmou nenhuma dessas categorias.

Nem mesmo a quantidade exata de contas permite determinar quantas pessoas distintas foram afetadas. Antes de considerar esse número como a quantidade de usuários atingidos, os investigadores precisariam verificar se os registros são autênticos, atuais ou duplicados.

Também há alegações sobre registros de funcionários, lojistas e transações

O suposto roubo vai além dos perfis dos clientes. O conjunto de dados alegado inclui registros de 549 funcionários, com informações de identidade nacional, salários, afiliações religiosas e números de contatos de emergência. Outras alegações mencionam registros de acesso administrativo, locais de entrega e trajetos de motoristas.

As alegações financeiras incluem 17.943 registros de contas bancárias e códigos de roteamento de lojistas, além de 845.872 registros de transações por débito automático. As informações de roteamento bancário identificam a instituição ou a agência envolvida em um pagamento. Um registro de transação documenta um pagamento, mas sua presença, por si só, não comprovaria que um invasor poderia movimentar dinheiro.

Esses números descrevem diferentes tipos de registros, não uma quantidade única que possa ser somada para determinar o número de vítimas. Dados de funcionários, contas de lojistas e transações repetidas podem se sobrepor a outras entradas do suposto conjunto de dados.

Md. Foyej, gerente de parcerias e relações públicas da Pathao, afirmou que a empresa não havia confirmado as alegações sobre categorias sensíveis. Em resposta por e-mail, ele declarou:

As alegações sobre NID, carteira de habilitação, localização, endereço ou dados financeiros não foram verificadas até o momento. Qualquer informação adicional confirmada será comunicada pelos canais oficiais da Pathao.

Exigência de resgate ainda não foi confirmada

A suposta publicação criminosa exigia 400.000 USDT, valor descrito nos relatos como aproximadamente US$ 400 mil. USDT, também conhecido como Tether, é uma criptomoeda projetada para acompanhar o valor do dólar americano. O grupo teria dado 24 horas para a Pathao pagar e ameaçado divulgar as informações em etapas.

As divulgações ameaçadas incluiriam informações de identificação, bancárias, de funcionários e administrativas. Não foi possível verificar de forma independente a alegação nem o prazo. Os relatos não estabelecem um horário inicial confirmado para a contagem do prazo, uma decisão sobre o pagamento ou uma divulgação posterior.

Foyej, falando em nome da Pathao, não confirmou a suposta exigência:

A Pathao não quer comentar alegações não verificadas sobre exigências de resgate.

A ameaça de publicar informações roubadas é uma forma de extorsão de dados. Isso não significa necessariamente que os invasores criptografaram os sistemas ou impediram a empresa de acessar seus próprios arquivos. A Pathao não divulgou evidências de criptografia nem explicou o mecanismo técnico por trás da interrupção.

O que a Pathao diz ter feito

A resposta anunciada pela Pathao tem três elementos principais: tirar sistemas críticos do ar, envolver especialistas externos em cibersegurança e notificar as autoridades competentes. A empresa informou que notificações foram feitas a órgãos de segurança pública ou governamentais, conforme as regras aplicáveis, mas não identificou os órgãos nem as normas jurídicas específicas.

Em seu comunicado público, a Pathao descreveu a resposta imediata e o papel dos especialistas:

Foram adotadas medidas imediatas de contenção, e especialistas externos em cibersegurança foram contratados para reforçar os controles de segurança e ajudar a garantir que os sistemas da Pathao permaneçam seguros e estáveis.

A empresa afirmou que cooperava com as autoridades enquanto a investigação prosseguia. Pediu desculpas a usuários, motoristas, lojistas e parceiros pelo incidente e pelas interrupções, reconhecendo sua responsabilidade de proteger as informações que lhe foram confiadas.

Foyej também afirmou que medidas de precaução podem ter desconectado alguns usuários automaticamente. Eles poderiam fazer login novamente para usar o serviço. Uma desconexão automática, por si só, não é evidência de que as informações de uma pessoa específica tenham sido roubadas.

Por que até mesmo dados de contato podem gerar riscos

A exposição confirmada de nomes, endereços de e-mail e números de telefone fornece aos invasores informações que podem fazer uma abordagem fraudulenta parecer convincente. Uma mensagem que chama alguém pelo nome e menciona um serviço que essa pessoa utiliza pode parecer mais confiável do que uma solicitação anônima.

Phishing consiste em se passar por uma organização ou pessoa confiável para convencer alguém a revelar informações, acessar um link malicioso ou autorizar uma ação. A Pathao alertou para essa possibilidade, mas não afirmou que já tenham ocorrido ataques de phishing ou falsificação de identidade relacionados à violação.

O especialista em tecnologia da informação Suman Ahmed Sabir apontou roubo de identidade, fraude bancária, phishing, extorsão e comprometimento de contas de redes sociais como riscos possíveis caso as alegações mais amplas se confirmem. A avaliação diz respeito a possíveis consequências, não a crimes confirmados contra usuários da Pathao.

O tipo de informação exposta altera o risco. Dados de contato podem facilitar fraudes direcionadas; documentos de identidade podem ser usados em tentativas de falsificação de identidade; registros de localização e trajetos podem revelar deslocamentos privados. Tokens de acesso podem criar riscos à segurança das contas, dependendo das permissões e de ainda estarem válidos. A Pathao não confirmou a exposição dessas categorias mais sensíveis.

O que os usuários foram orientados a fazer

A principal orientação da Pathao é ter cautela com mensagens, ligações e links inesperados de qualquer pessoa que diga representar a empresa. A empresa orientou os usuários a não compartilhar senhas, PINs ou senhas de uso único em resposta a essas comunicações.

Uma senha de uso único, ou OTP, é um código temporário usado para aprovar um login ou uma transação. Compartilhá-lo pode permitir que outra pessoa conclua a ação que ele protege, mesmo que ela não saiba a senha habitual da conta.

A empresa recomendou que os usuários recorram aos canais oficiais para receber atualizações confirmadas. As orientações de segurança discutidas em relação ao incidente também incluíram evitar links desconhecidos e ativar a autenticação de dois fatores no Facebook e em outras contas. Esse recurso acrescenta uma segunda etapa de verificação além da senha.

Essas precauções ajudam a prevenir o possível uso indevido das informações sem presumir que todas as alegações sejam verdadeiras. Não há uma quantidade confirmada de contas do Facebook comprometidas, transações fraudulentas ou casos de roubo de identidade decorrentes desse incidente.

O que ainda precisa ser apurado

O especialista em cibersegurança Tanvir Hassan Zoha recomendou uma investigação independente de perícia digital, a preservação dos servidores relevantes e dos registros de acesso e a notificação dos órgãos reguladores e das autoridades de segurança pública, conforme a legislação aplicável. A perícia digital utiliza evidências técnicas para reconstituir o que aconteceu, incluindo quais sistemas foram acessados e quais ações foram realizadas.

Preservar os registros é importante porque eles podem ajudar a identificar o método de entrada, o período de acesso não autorizado e quais registros um invasor alcançou. A Pathao anunciou a contratação de especialistas externos, mas não informou se o trabalho deles consiste em uma investigação pericial independente nem divulgou suas conclusões.

Sabir também argumentou que a supervisão de cibersegurança em Bangladesh enfrenta limitações de pessoal e recursos, inclusive nas instituições responsáveis por responder a incidentes. Ele defendeu a criação de um marco legal para compensar clientes que sofram prejuízos. Essas são avaliações e recomendações dele, não conclusões de uma autoridade que investiga a Pathao.

As questões imediatas ainda sem resposta são mais específicas: quantos usuários foram afetados, quais categorias de informações foram levadas, se registros dos dois países foram expostos e se as supostas credenciais financeiras ou de contas são autênticas. A Pathao não divulgou uma data para concluir a investigação, apresentar suas conclusões ou publicar a próxima atualização.

A promessa da empresa de comunicar informações confirmadas deixa clara uma distinção que os usuários devem ter em mente. O roubo de alguns dados pessoais está confirmado. A alegação de um conjunto de dados de 133 gigabytes contendo mais de 19 milhões de contas, extensos registros de identidade e informações financeiras não está.

Principais pontos

• A Pathao confirmou que invasores obtiveram nomes, endereços de e-mail e números de telefone de algumas pessoas durante o incidente de 4 de outubro.
• As operações em Bangladesh e no Nepal foram interrompidas, e alguns usuários poderiam enfrentar problemas intermitentes durante os trabalhos de estabilização.
• As alegações envolvendo 133 gigabytes, 19.063.918 contas e aproximadamente 250 milhões de linhas de banco de dados não foram confirmadas.
• A Pathao não confirmou a suposta exposição de senhas, documentos de identidade, dados de localização ou informações financeiras.
• A suposta exigência de 400.000 USDT e o prazo de 24 horas não foram confirmados pela empresa.
• Especialistas externos em cibersegurança foram contratados, as autoridades competentes foram notificadas e não foi anunciada uma data para a conclusão da investigação.
• Os usuários foram alertados sobre contatos não solicitados e orientados a nunca compartilhar senhas, PINs ou OTPs.