Latam confirma acesso não autorizado a dados de clientes; informações de cartões e milhas foram expostas

BRASIL — Clientes do programa de fidelidade LATAM Pass devem redobrar a atenção a mensagens, ligações e tentativas de fraude após a Latam confirmar um incidente de segurança que permitiu o acesso não autorizado a informações pessoais mantidas em seus sistemas.

A ocorrência foi identificada em 29 de julho, mas os detalhes começaram a ser divulgados pela companhia nesta quarta-feira (19), depois da realização de uma análise técnica destinada a identificar os clientes e as informações potencialmente atingidas.

Entre os dados que puderam ser consultados estão nome completo, data de nascimento, e-mail, telefone, endereço residencial, número de associado e categoria no LATAM Pass.

Também ficaram acessíveis informações relativas ao saldo de milhas e aos pontos qualificáveis dos participantes do programa.

O incidente alcançou ainda dados parciais de cartões de crédito cadastrados.

Parte dos dados do cartão ficou acessível

Segundo as informações divulgadas pela Latam, puderam ser consultados:

• os seis primeiros dígitos do cartão;
• os quatro últimos dígitos;
• bandeira;
• nome do titular;
• data de validade.

A companhia ressalta, porém, que o número completo do cartão de crédito não foi exposto.

Também não teriam sido comprometidos o código de segurança — CVV — nem as senhas dos clientes.

Essa diferença é importante porque reduz a possibilidade de utilização direta dos cartões apenas com as informações acessadas.

O risco, entretanto, não desaparece.

O conjunto de informações pessoais expostas pode ser utilizado por criminosos para produzir tentativas de fraude mais convincentes.

Golpes podem parecer verdadeiros

Imagine receber uma ligação de alguém que conhece seu nome completo, sabe que você participa do LATAM Pass, possui parte dos números do seu cartão e eventualmente conhece informações relacionadas à sua conta.

É exatamente esse conjunto de dados que pode tornar uma fraude mais difícil de identificar.

Criminosos podem utilizar informações verdadeiras para conquistar a confiança da vítima e, em seguida, solicitar aquilo que não possuem, como:

• senha;
• código recebido por SMS;
• token de autenticação;
• número completo do cartão;
• CVV;
• Pix;
• pagamento de suposta taxa;
• instalação de aplicativo;
• acesso remoto ao aparelho.

Por isso, o maior risco imediato do episódio pode estar na chamada engenharia social.

Nessa modalidade de fraude, o criminoso não precisa necessariamente invadir novamente um sistema: ele utiliza os dados que já possui para convencer a própria vítima a entregar as informações que faltam.

Latam alerta clientes

A empresa recomendou atenção redobrada a mensagens ou ligações suspeitas.

A Latam afirma que não solicita senhas de acesso, tokens enviados por SMS ou dados completos de cartão de crédito por telefone ou aplicativos de mensagens.

Clientes que receberem contatos desse tipo devem interromper a comunicação e utilizar exclusivamente os canais oficiais da companhia.

Outro cuidado importante é não clicar em links recebidos por SMS, WhatsApp, e-mail ou redes sociais alegando necessidade urgente de:

“proteger suas milhas”, “confirmar seus dados”, “cancelar uma movimentação suspeita” ou “evitar o bloqueio da conta”.

Depois de um incidente de exposição de dados, esse tipo de mensagem pode se tornar especialmente perigoso.

Número de clientes atingidos não foi divulgado

A Latam afirma que a ocorrência atingiu uma parcela limitada dos membros do programa, mas não informou publicamente quantos usuários tiveram seus dados acessados.

A empresa comunicou diretamente os clientes identificados como potencialmente atingidos.

Também informou a ocorrência à Agência Nacional de Proteção de Dados (ANPD).

A comunicação ao órgão faz parte das obrigações relacionadas à proteção de dados previstas pela legislação brasileira, especialmente quando um incidente pode representar risco relevante aos titulares das informações.

Empresa afirma ter corrigido vulnerabilidade

Depois de identificar o problema, a Latam informou ter adotado diferentes medidas de contenção.

Entre as providências relatadas estão o bloqueio de acessos originados de endereços de IP considerados suspeitos, correções no sistema e implantação de mecanismos adicionais de segurança.

A empresa afirma ainda que mantém processos contínuos de avaliação e aperfeiçoamento de seus controles de proteção de dados.

A divulgação pública ocorreu depois que a investigação técnica interna conseguiu determinar quais usuários e quais categorias de informações haviam sido potencialmente acessados.

O que o cliente deve fazer agora?

Mesmo que não tenha recebido uma comunicação da Latam, qualquer participante do LATAM Pass pode adotar algumas medidas preventivas.

A primeira delas é desconfiar de qualquer contato inesperado envolvendo milhas ou informações pessoais.

Também é recomendável:

• verificar diretamente no aplicativo ou site oficial o saldo de milhas;
• acompanhar movimentações da conta;
• observar as faturas dos cartões cadastrados;
• não compartilhar códigos enviados por SMS;
• evitar acessar a conta por links recebidos em mensagens;
• utilizar senhas exclusivas e fortes;
• ativar mecanismos adicionais de autenticação quando disponíveis;
• comunicar imediatamente ao banco qualquer movimentação desconhecida.

Quem utiliza a mesma senha do LATAM Pass em outros serviços também deve considerar alterá-la, embora a empresa afirme que senhas não foram comprometidas neste incidente.

Milhas também possuem valor e atraem criminosos

Programas de fidelidade deixaram de ser simplesmente mecanismos para acumular pontos.

Milhas podem ser utilizadas para comprar passagens, produtos e serviços e, por isso, possuem valor econômico significativo.

Contas com grande quantidade de pontos tornaram-se alvos potenciais de criminosos digitais.

Uma invasão pode resultar na emissão fraudulenta de passagens, transferência de benefícios ou utilização indevida de informações do titular.

Por isso, dados relacionados ao saldo e à categoria de um participante também são relevantes do ponto de vista de segurança.

Caso é diferente de fraude financeira consumada

Até o momento, não existe informação pública de que o incidente tenha provocado transações financeiras diretamente a partir dos cartões expostos.

Também não há indicação de comprometimento do número integral dos cartões, CVV ou senhas.

Isso não significa, porém, que os consumidores devam ignorar a ocorrência.

Quanto maior a quantidade de informações legítimas em poder de criminosos, maior pode ser a capacidade de criar abordagens personalizadas.

ANPD foi acionada

A Agência Nacional de Proteção de Dados deverá acompanhar o episódio dentro das atribuições previstas pela Lei Geral de Proteção de Dados.

A LGPD estabelece obrigações para empresas que realizam tratamento de informações pessoais e prevê medidas relacionadas à segurança, transparência e comunicação de incidentes.

A eventual responsabilização dependerá da análise das circunstâncias do caso, das medidas de proteção existentes e das providências adotadas depois da identificação do problema.

Informação virou patrimônio digital

O episódio envolvendo o LATAM Pass reforça uma preocupação crescente: dados aparentemente isolados podem adquirir enorme valor quando combinados.

Um nome, sozinho, revela pouco.

Mas nome, telefone, endereço, data de nascimento, participação em um programa de fidelidade, saldo de milhas e informações parciais de um cartão permitem construir um perfil bastante detalhado de uma pessoa.

É justamente por isso que, em segurança digital, dados pessoais também precisam ser tratados como patrimônio.

Para os clientes eventualmente atingidos, o principal cuidado agora não deve ser apenas verificar o cartão, mas desconfiar de qualquer pessoa que use informações verdadeiras para tentar obter outras informações ainda mais importantes.

---

Portal Conexão Geral — Informação, tecnologia e segurança para proteger o cidadão.