O Washington Post está a notificar perto de 10.000 funcionários e contratados sobre uma violação de dados que expôs informações pessoais e financeiras. O ataque foi conseguido através da exploração de uma vulnerabilidade "zero-day" (desconhecida até então) no software Oracle E-Business Suite, utilizado internamente pelo jornal.
O cronograma do ataque
Segundo a notificação oficial, os atacantes tiveram acesso a partes da rede do jornal entre 10 de julho e 22 de agosto. No entanto, o Washington Post só teve conhecimento da intrusão a 29 de setembro de 2025, quando os cibercriminosos contactaram a empresa numa tentativa de extorsão.
A investigação interna, que contou com especialistas externos, foi complexa. Durante o processo, a própria Oracle anunciou ter identificado uma nova vulnerabilidade "generalizada" no seu software E-Business Suite, que estava a permitir o acesso não autorizado a múltiplos clientes. Esta falha está agora identificada como CVE-2025-61884.
Embora a notificação não nomeie os responsáveis, este ataque está a ser associado ao grupo de ransomware Clop, que tem usado esta mesma falha para comprometer outras grandes organizações.
O que foi roubado?
A investigação do jornal, concluída a 27 de outubro, revelou que o ataque comprometeu dados de 9.720 pessoas. A informação roubada inclui dados altamente sensíveis:
Nomes completos
Números de contas bancárias e números de roteamento (routing numbers)
Números de Segurança Social (SSNs)
Números de identificação fiscal (Tax IDs)
O Washington Post não é a única vítima desta vulnerabilidade no software da Oracle. A Universidade de Harvard, a Envoy Air (uma subsidiária da American Airlines) e a GlobalLogic (da Hitachi) também confirmaram ter sido alvo de ataques semelhantes.
Aos indivíduos afetados está a ser oferecido um ano de serviços de proteção de identidade através da IDX. O jornal recomendou ainda que os visados considerem o congelamento dos seus relatórios de crédito e a ativação de alertas de fraude.
Segundo incidente em poucos meses
Este é o segundo incidente de segurança notório a afetar o jornal recentemente. Em junho, o Washington Post anunciou que as contas de email de vários jornalistas tinham sido comprometidas num ciberataque levado a cabo por agentes estatais estrangeiros.
Apesar da proximidade temporal, a empresa afirma que não existem, até ao momento, evidências que liguem os dois incidentes.
Nenhum comentário
Seja o primeiro!