Um suposto vazamento de dados no neobank americano B9 colocou em xeque a segurança de aproximadamente 36 mil clientes. Segundo reportagem do DarkWebInformer, um usuário em um fórum de hacking publicou um banco de dados que alega conter informações altamente sensíveis, incluindo nomes completos, datas de nascimento, endereços residenciais, números de telefone, e-mails e, crucialmente, números parciais do Social Security Number (SSN), o equivalente ao CPF nos Estados Unidos.

O caso, que ainda carece de verificação independente e de um posicionamento oficial da B9, ganha contornos mais graves pelo método alegadamente utilizado. O autor da postagem afirma que os dados não foram obtidos por meio de uma invasão direta ao banco de dados, mas sim através de “scraping” — ou raspagem de dados. A distinção é fundamental: ela sugere não uma falha de segurança pontual, mas uma vulnerabilidade arquitetural, possivelmente em uma API, que pode permanecer aberta e expor uma base de usuários ainda maior.

A anatomia de um 'scraping'

No jargão da segurança cibernética, a diferença entre um ataque que resulta em um “dump” de banco de dados e um vazamento por “scraping” é gritante. O primeiro é um evento catastrófico e singular, como arrombar um cofre. O segundo é mais sutil e sistêmico: equivale a descobrir que o cofre tem uma fresta pela qual é possível extrair seu conteúdo aos poucos, de forma metódica. Se a alegação sobre a B9 for verdadeira, significa que uma interface da plataforma — provavelmente uma API destinada a servir o próprio aplicativo — estaria retornando informações de clientes de forma excessiva e enumerável.

O próprio hacker descreve as limitações de sua operação, afirmando que contas que exigiam verificação por selfie não foram incluídas. Isso reforça a tese de que ele explorou um fluxo de dados legítimo, mas mal protegido. O conjunto de informações obtidas é um kit pronto para fraude de identidade. Nome, data de nascimento, endereço e um SSN parcial são, nos EUA, o suficiente para passar por verificações de identidade e abrir linhas de crédito. A situação é agravada pelo contexto financeiro: o vazamento inclui o status da conta, o estado da verificação de identidade (KYC) e os limites de adiantamento de dinheiro, informações que permitem a criação de golpes de engenharia social extremamente direcionados e convincentes.

O calcanhar de Aquiles das fintechs

O episódio da B9, mesmo que permaneça no campo da alegação, serve como uma poderosa fábula de advertência para o setor global de fintechs, que opera sob a pressão constante de escalar rapidamente e oferecer uma experiência de usuário sem atritos. A agilidade na entrega de novas funcionalidades, muitas vezes, leva a atalhos no design de APIs, que acabam expondo mais dados do que o estritamente necessário para uma determinada função. Uma interface que retorna um registro completo de cliente para uma consulta simples é uma bomba-relógio.

Para o ecossistema brasileiro, onde neobanks e fintechs experimentaram um crescimento exponencial e capturaram dezenas de milhões de clientes, a lição é direta. A promessa de inclusão e desburocratização financeira carrega uma responsabilidade proporcional sobre a custódia de dados. O incidente da B9 deveria servir como um teste de estresse para que os players locais revisitem suas próprias arquiteturas. A pergunta que fica no ar não é apenas se os firewalls estão ativos, mas se as APIs foram projetadas com o princípio do menor privilégio, garantindo que cada ponto de acesso revele apenas o mínimo indispensável de informação.

A B9 ainda não se pronunciou, e o vazamento segue sem confirmação. Contudo, a natureza da alegação é, por si só, um fato relevante para o mercado. Ela desloca o debate de segurança de uma ótica de defesa contra invasores para uma de higiene no design de produtos. Para os clientes, a recomendação de congelar o crédito e desconfiar de contatos não solicitados é um paliativo. Para a indústria, o alerta é estrutural: a maior vulnerabilidade pode não estar em uma linha de código obscura, mas em uma decisão de design tomada em nome da velocidade.

Com reportagem de Brazil Valley

Source · DarkWebInformer