A empresa de análise de dados LexisNexis Legal & Professional confirmou uma violação de segurança em seus servidores, resultando no acesso não autorizado a informações de clientes e de negócios. O incidente foi reportado após hackers terem vazado arquivos supostamente roubados da companhia.
O que se sabe sobre o incidente
A LexisNexis, uma subsidiária da RELX, é uma das maiores provedoras de informações jurídicas, regulatórias e de negócios do mundo. Em comunicação com a publicação BleepingComputer, a empresa reconheceu a violação, mas não detalhou o escopo total do ataque, o número de indivíduos ou organizações afetadas, nem a natureza precisa dos dados acessados.
"A LexisNexis Legal & Professional confirmou que hackers violaram seus servidores e acessaram algumas informações de clientes e de negócios", afirmou a empresa. A confirmação veio após a aparição de dados supostamente roubados em fóruns clandestinos, uma prática comum após ataques de ransomware ou extorsão de dados.
Impacto e alcance potencial
Considerando o vasto portfólio de dados da LexisNexis, que inclui registros públicos, informações corporativas, dados de due diligence e ferramentas de pesquisa legal, uma violação em seus sistemas pode ter implicações significativas. Empresas e profissionais do setor jurídico que utilizam seus serviços podem ter tido informações sensíveis expostas.
Ainda não está claro se o ataque foi motivado por ransomware, se houve uma exigência de resgate ou se os dados foram simplesmente exfiltrados. A falta de detalhes públicos sobre o vetor de ataque e as medidas de contenção tomadas pela empresa deixa uma lacuna na compreensão completa do incidente.
Repercussão e próximos passos
Incidentes em grandes agregadores de dados como a LexisNexis representam um risco amplificado, pois concentram informações de múltiplas fontes e clientes. A exposição desses dados pode facilitar ataques de spear-phishing mais sofisticados, fraudes de identidade e espionagem corporativa.
Organizações, especialmente no Brasil, que utilizam serviços da LexisNexis ou de empresas similares devem ficar alertas para comunicações oficiais da provedora. É recomendável monitorar contas e estar atento a tentativas de phishing que possam se passar por notificações legítimas sobre o incidente. A empresa deverá, em conformidade com leis de proteção de dados como a LGPD para clientes brasileiros, notificar as autoridades e os indivíduos afetados caso haja risco relevante.
Este caso reforça a necessidade de um rigoroso gerenciamento de acesso a terceiros (Third-Party Risk Management - TPRM) e a importância de entender a cadeia de custódia dos dados, mesmo quando armazenados por fornecedores de grande porte e reputação.