A National Association of Insurance Commissioners (NAIC) confirmou ter sido alvo de um ataque informático que explorou uma vulnerabilidade zero-day no servidor Oracle PeopleSoft. Segundo a nota oficial de segurança partilhada pela NAIC, a invasão aos seus sistemas ocorreu a 11 de junho, levada a cabo pelo grupo de extorsão ShinyHunters. A organização de regulação de seguros dos Estados Unidos desvaloriza o impacto da intrusão, afirmando que apenas ficheiros públicos, registos desatualizados e ficheiros de configuração foram comprometidos após a recusa no pagamento do resgate.
O contraste entre as versões do incidente
A narrativa da entidade reguladora contrasta fortemente com as alegações dos piratas informáticos. A NAIC assegura que a investigação técnica não encontrou qualquer prova de exposição de dados financeiros sensíveis ou de identificação pessoal (PII). A organização desmentiu diretamente o acesso a plataformas críticas do setor, como o SERFF ou o OPTins. Como consequência direta, registaram-se apenas perturbações operacionais temporárias, levando algumas agências de notação de crédito a suspenderem o fluxo de dados por precaução.
Do outro lado, o grupo criminoso atualizou as suas reivindicações a 25 de junho, afirmando reter 3.1 TB de informação, o equivalente a cerca de 105 mil ficheiros. Na lista de dados roubados constam supostamente milhares de documentos de regulação datados entre 2017 e 2024, além de credenciais de ambientes de produção e configurações cloud. Num detalhe invulgar, os atacantes admitiram que o seu primeiro relatório de roubo estava exagerado devido a falhas e alucinações de inteligência artificial durante a avaliação dos ficheiros, mas garantem que a nova listagem foi agora validada de forma manual.
A ameaça das vulnerabilidades não documentadas
A falha explorada neste ataque (CVE-2026-35273) tem vindo a ser utilizada para comprometer mais de uma centena de organizações em todo o mundo, afetando instâncias cloud e locais daquele sistema empresarial, com especial incidência no setor da educação.
Para os administradores de sistemas e empresas em Portugal, este caso serve de alerta prático sobre o perigo das vulnerabilidades zero-day em software de gestão empresarial de adoção massiva. Enquanto a NAIC confirma que os seus sistemas foram remediados e estão a receber defesas adicionais, a realidade mostra que a exploração rápida de falhas antes da sua divulgação pública deixa pouca margem de manobra, resultando frequentemente em extorsão e impactos operacionais severos para qualquer infraestrutura exposta na internet.
Nenhum comentário
Seja o primeiro!