Um ator em um fórum de cibercrime está oferecendo o que descreve como um banco de dados com 3,1 milhões de registros completos de clientes da DZI Insurance, a mais antiga seguradora da Bulgária e uma subsidiária do belga KBC Group. A oferta inclui dados altamente sensíveis, como números de identidade nacional, passaportes, endereços e nomes completos em escrita cirílica e latina.

A alegação, reportada pelo DarkWebInformer, ainda não foi verificada. Contudo, o incidente — real ou não — serve como um estudo de caso sobre a vulnerabilidade de infraestruturas digitais e o valor crescente de “kits de identidade” completos no mercado clandestino. A análise do método e do tipo de dado exposto revela uma anatomia de risco relevante para qualquer empresa que gerencie dados de clientes.

O risco mora na API

O responsável pelo vazamento atribui a extração a uma API mal protegida no portal de clientes da seguradora. Este é um vetor de ataque cada vez mais comum. Enquanto empresas reforçam a segurança de seus perímetros tradicionais, as APIs — as pontes que permitem a comunicação entre diferentes sistemas e serviços — podem se tornar portas de entrada se não forem devidamente monitoradas e protegidas. A alegação de que os dados estão disponíveis em formato JSON bruto é consistente com uma extração em massa via interface, e não com o roubo de um backup de banco de dados.

A tática ressalta uma tensão fundamental na transformação digital: a mesma tecnologia que habilita experiências de usuário mais fluidas e ecossistemas de parceiros integrados também expande a superfície de ataque. Para o ecossistema brasileiro, onde fintechs, seguradoras e varejistas dependem intensamente de APIs para operar, o caso serve de alerta sobre a necessidade de auditorias de segurança contínuas nessas interfaces.

Um kit de identidade permanente

O que torna este vazamento particularmente grave não é apenas o volume, mas a qualidade dos dados. A combinação do número de identidade nacional — um identificador central para serviços bancários, de saúde e governamentais na Bulgária — com dados de passaporte e endereço residencial cria o que o relatório chama de “kit de identidade completo e permanente”. Diferente de uma senha ou de um número de cartão de crédito, são informações que um cidadão não pode simplesmente alterar.

O modelo de venda, restrito a apenas dois compradores, também é significativo. Ele sugere um uso direcionado para fraudes sofisticadas, como roubo de identidade em larga escala ou engenharia social complexa, em vez de campanhas de spam ou phishing em massa. O valor está na exclusividade e no potencial de dano concentrado, não na ampla distribuição. A promessa de mais dados a seguir pode ser uma tática de venda, mas também indica que a vulnerabilidade, se real, pode não ter sido contida.

Até o momento, nem a DZI nem sua controladora, a KBC Group, se pronunciaram publicamente sobre a alegação. A ausência de uma notificação desde a suposta data do incidente, em maio, levanta questões regulatórias, especialmente em uma jurisdição da União Europeia, onde o GDPR impõe prazos rígidos para a comunicação de violações de dados.

Com reportagem de Brazil Valley

Source · DarkWebInformer