Como aconteceu o vazamento de dados da Medibank e como evitá-lo?

1. Introdução#

Em outubro de 2022, a Medibank, uma das maiores seguradoras privadas de saúde da Austrália, sofreu um vazamento de dados que expôs as informações pessoais e médicas confidenciais de 9,7 milhões de clientes. Este incidente mostrou as graves consequências de não implementar medidas básicas de segurança cibernética. Entender como o vazamento ocorreu e as lacunas de segurança exploradas é essencial para evitar ataques semelhantes no futuro.

É por isso que esta postagem do blog abordará estas perguntas principais:

• Quais vulnerabilidades permitiram o vazamento da Medibank?
• Quais contramedidas poderiam ter evitado o vazamento da Medibank?

2. Como aconteceu o vazamento de dados da Medibank?#

O vazamento de dados da Medibank não foi resultado de métodos de hackers sofisticados. Em vez disso, ocorreu devido a uma série de erros de segurança evitáveis. Esses descuidos permitiram que cibercriminosos entrassem na rede da Medibank, roubassem grandes quantidades de informações confidenciais e, em seguida, exigissem um resgate.

2.1 Credenciais roubadas e pontos de entrada não seguros#

O ataque começou quando um provedor de TI terceirizado, contratado pela Medibank, armazenou os detalhes de login de nível de administrador da Medibank em um dispositivo pessoal. Este dispositivo estava infectado por malware, o que permitiu aos invasores obter as credenciais do usuário. Como o sistema de acesso remoto da Medibank não exigia autenticação multifator na época, os invasores puderam fazer login na rede da empresa usando essas credenciais roubadas, aparentando ser usuários autorizados.

2.2 Roubo de dados e atraso na resposta da Medibank#

Uma vez dentro do sistema da Medibank, os criminosos instalaram um script para pesquisar e extrair informações confidenciais de clientes. Eles compactaram esses dados e os transferiram para fora da rede por meio de um backdoor integrado. Embora as ferramentas de segurança da empresa tenham sinalizado atividades suspeitas, esses alertas não foram acompanhados com a urgência necessária. Quando a equipe de segurança da Medibank finalmente agiu e encerrou o acesso dos invasores, 200 GB de dados pessoais já haviam sido roubados.

2.3 Exigências de resgate e vazamentos de dados#

As informações roubadas incluíam:

• Nomes
• Datas de nascimento
• Detalhes do passaporte
• Números do Medicare

Com a posse desses dados, os invasores exigiram um resgate de 10 milhões de dólares americanos para impedi-los de liberá-los ao público. A Medibank recusou-se a pagar, acreditando que isso encorajaria novos ataques e, portanto, os criminosos começaram a vazar partes dos dados na dark web em resposta, colocando pressão adicional sobre a empresa.

3. Principais vulnerabilidades na segurança da Medibank#

O vazamento da Medibank mostrou várias fraquezas críticas nas defesas de segurança cibernética da organização. Ao não implementar esses controles essenciais de segurança, a Medibank criou oportunidades para os invasores explorarem o acesso privilegiado, navegarem nos sistemas internos e extraírem dados confidenciais. Aqui estão as principais vulnerabilidades que contribuíram para o incidente:

3.1 Falta de proteção de credenciais#

A falha da Medibank em proteger credenciais privilegiadas permitiu que os invasores contornassem as medidas de segurança iniciais, pois não havia 2FA/MFA em vigor para então usar o login dentro do sistema.

3.2 Ausência do Princípio do Menor Privilégio (POLP)#

A conta de funcionário comprada pelos hackers na dark web tinha mais acesso do que o necessário para realizar tarefas diárias, aumentando o risco de comprometimento de contas de alto privilégio. Isso permitiu que os invasores acessassem dados críticos diretamente.

3.3 Segmentação de rede insuficiente#

A falta de segmentação de rede tornou mais fácil para os invasores localizarem e extraírem dados confidenciais. Sem zonas isoladas ou controles de acesso robustos, os invasores puderam acessar o banco de dados sem encontrar barreiras significativas.

3.4 Atraso na detecção de backdoors#

Apesar de, por fim, detectar o vazamento, a resposta atrasada da Medibank permitiu que os invasores já baixassem uma quantidade significativa de dados antes de encerrar o ataque cibernético.

4. Como o vazamento da Medibank poderia ter sido evitado?#

Aqui estão quatro estratégias que poderiam ter mitigado ou até mesmo evitado o vazamento de dados da Medibank:

4.1 Implementar treinamento de conscientização sobre ameaças cibernéticas#

Ensinar os funcionários a reconhecer tentativas de phishing e roubo de credenciais pode reduzir o risco de comprometimento inicial, já que o phishing continua sendo um dos métodos mais comuns para roubo de credenciais.

4.2 Impor o Princípio do Menor Privilégio (POLP)#

O POLP limita o acesso a sistemas e dados confidenciais apenas àqueles que precisam dele. Ao impor o POLP, a Medibank poderia ter desacelerado os invasores ou os impedido de acessar bancos de dados críticos.

4.3 Usar a autenticação multifator (MFA)#

A MFA adiciona uma camada extra de segurança ao exigir etapas adicionais de verificação além de apenas uma senha. De acordo com a Microsoft, a MFA pode evitar até 98% das tentativas de comprometimento de contas. A MFA adaptativa, que ajusta os requisitos com base em fatores de risco, oferece uma proteção ainda mais forte.

4.4 Implementar uma segmentação de rede robusta#

A segmentação de rede isola dados confidenciais em zonas seguras, tornando mais desafiador para os invasores localizarem e acessarem. Para segurança extra, os jump servers podem controlar solicitações de conexão a essas zonas, reduzindo o risco de acesso não autorizado.

5. Conclusão#

O vazamento de dados da Medibank destaca a necessidade crítica de medidas robustas de segurança cibernética no cenário digital de hoje. Ao implementar práticas básicas de segurança como proteção de credenciais, MFA, POLP e segmentação de rede, as organizações podem reduzir significativamente o risco de sofrer um ataque semelhante.

Este incidente serve como um forte lembrete de que proteger os dados confidenciais dos clientes não é apenas uma obrigação legal, mas um aspecto fundamental para manter a confiança na era digital.

Sobre a Corbado

Corbado é a Passkey Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login — tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (+80% de ativação de passkey). Fale com um especialista em Passkeys →

Perguntas frequentes#

Como os invasores conseguiram entrar inicialmente na rede da Medibank?#

Os invasores obtiveram credenciais de administrador da Medibank no dispositivo pessoal de um provedor de TI terceirizado que estava infectado por malware. Como o sistema de acesso remoto da Medibank não tinha autenticação multifator na época, as credenciais roubadas foram suficientes para fazer o login como um usuário autorizado.

O que tornou o vazamento da Medibank tão prejudicial depois que os invasores estavam dentro da rede?#

Duas fraquezas principais amplificaram os danos: a conta comprometida tinha privilégios excessivos além do que as tarefas diárias exigiam, violando o Princípio do Menor Privilégio, e a segmentação de rede insuficiente significava que os invasores podiam se mover livremente para localizar e extrair bancos de dados confidenciais sem barreiras significativas.

Quais controles de segurança teriam evitado de forma mais eficaz o vazamento de dados da Medibank?#

A imposição de MFA em todos os pontos de acesso remoto era o controle ausente mais crítico, pois os dados da Microsoft mostram que a MFA bloqueia até 98% das tentativas de comprometimento de contas. A combinação da MFA com o Princípio do Menor Privilégio e a segmentação robusta da rede teria impedido ou limitado significativamente o ataque, mesmo se as credenciais fossem roubadas.

Por que as organizações devem evitar pagar resgates após um vazamento de dados como o da Medibank?#

A Medibank recusou-se a pagar o resgate de 10 milhões de dólares americanos especificamente porque a empresa acreditava que o pagamento encorajaria mais ataques contra ela e outras organizações. Apesar de a recusa levar a vazamentos de dados na dark web, essa posição está alinhada com as orientações de segurança mais amplas de que pagamentos de resgate não garantem a exclusão de dados e incentivam ataques repetidos.