A AT&T diz que hackers roubaram dados de 2022 de “quase todos” os seus clientes de celular do espaço de trabalho da empresa em uma plataforma de nuvem de terceiros.
A empresa de telecomunicações sediada em Dallas anunciou a violação massiva de dados em um documento regulatório e comunicado à imprensa na manhã de sexta-feira, afirmando acreditar que os dados não estão mais disponíveis publicamente.
“A AT&T tomou medidas adicionais de segurança cibernética em resposta a este incidente, incluindo o fechamento do ponto de acesso ilegal”, acrescentou.
A empresa escreveu que soube do incidente pela primeira vez em abril, mas o Departamento de Justiça dos EUA determinou em maio e novamente em junho que “um atraso no fornecimento de divulgação pública era justificado” até agora.
O Departamento de Justiça emitiu uma declaração confirmando que está investigando a violação.
“A cooperação da AT&T com o Departamento neste assunto, incluindo sua notificação antecipada e oportuna ao FBI, beneficiou os esforços contínuos do Departamento para investigar o incidente”, diz o comunicado.
A investigação da AT&T descobriu que um número não especificado de “agentes de ameaças” exfiltrou arquivos em abril contendo registros de chamadas telefônicas e mensagens de texto de “quase todos os clientes de celular da AT&T” entre maio e outubro de 2022, bem como um número menor de clientes em 2 de janeiro de 2023.
Um porta-voz da AT&T descreveu as informações coletadas como “metadados agregados”, contendo informações sobre as chamadas e mensagens de texto, mas não seus conteúdos.
Os registros identificam outros números de telefone com os quais os clientes afetados interagiram, incluindo números de telefone fixo da AT&T, bem como contagens dessas chamadas e mensagens de texto e a duração total das chamadas em dias ou meses específicos.
“Para um subconjunto dos registros, um ou mais números de ID de site de célula associados às interações também são incluídos”, acrescenta.
A AT&T diz que os dados não incluem a substância ou os carimbos de hora dessas chamadas e mensagens de texto, nem aniversários, números de previdência social ou outras “informações de identificação pessoal”. Embora haja um porém.
“Embora os dados não incluam nomes de clientes, muitas vezes há maneiras, usando ferramentas on-line disponíveis publicamente, de encontrar o nome associado a um número de telefone específico”, adverte.
A AT&T diz que está trabalhando com as autoridades para prender os perpetradores e “entende que pelo menos uma pessoa foi detida” até agora.
A empresa diz que notificará os usuários afetados por mensagem de texto, e-mail ou correio dos EUA e também criou uma página da web onde clientes atuais e antigos podem verificar se suas informações foram envolvidas.
Os afetados podem seguir um processo online para obter os números de telefone de suas chamadas e textos nos dados baixados. A AT&T diz que a opção de solicitar essas informações estará em vigor até o final deste ano.
E para aqueles preocupados com possíveis phishing e fraudes online, ele oferece alguns conselhos perenes, incluindo não responder a uma mensagem de texto de um remetente desconhecido com detalhes pessoais e certificar-se de que os sites são seguros, procurando pelo “s” depois de “http” no endereço.
A empresa acrescenta que os clientes que suspeitarem de atividade de texto suspeita devem encaminhar a mensagem para a AT&T e relatar qualquer suspeita de fraude em sua conta sem fio da AT&T à equipe.
Esta não é a primeira violação de dados que a AT&T relata este ano.
Em março, a empresa disse que havia redefinido as senhas de cerca de 7,6 milhões de usuários após descobrir um conjunto de dados na “dark web” contendo números de previdência social e outras informações pessoais de cerca de 70 milhões de correntistas atuais e antigos.
Separadamente, a AT&T deu US$ 5 a certos clientes afetados por uma interrupção nacional de quase 12 horas em fevereiro.
Verizon, Ticketmaster, Dell e Bank of America estão entre as outras empresas que relataram grandes violações de dados neste ano, afetando milhões de pessoas no total.
