Uma ligação de "suporte de TI" levou os dados de 5,7 milhões de passageiros.
O atacante pediu ao agente do call center que executasse ações no CRM para "fechar um chamado". As ações conectaram o sistema a uma ferramenta de extração de dados.
VishingUm atacante se passando por "suporte de TI da Qantas" ligou para um agente de call center terceirizado e o instruiu a executar uma sequência de ações no CRM, supostamente para fechar um chamado. Na prática, as ações conectaram o sistema a uma ferramenta de extração de dados.
Os dados pessoais de 5,7 milhões de clientes foram comprometidos. O caso é raro por um motivo: a comissária de privacidade australiana concluiu que a companhia não violou os princípios de privacidade locais.
A conclusão oficial é dura justamente por ser favorável à empresa: "nossas apurações não identificaram omissões nas medidas que a Qantas tomou que, se corrigidas, teriam impedido a violação". Ou seja, os controles estavam lá. O pedido chegou por fora deles.
Quando o regulador diz que a empresa fez tudo o que se esperava e o vazamento aconteceu assim mesmo, o que falta não é mais uma ferramenta. É a prática: o agente precisa ter recusado esse pedido antes, num ensaio, para reconhecê-lo na hora.
