Um usuário de um fórum frequentado por cibercriminosos na dark web publicou ontem, num post, um link para um conjunto contendo 2,04 GB que ele alega ter extraído da infraestrutura AWS da LexisNexis Legal & Professional, divisão de informações legais do grupo RELX. O usuário, chamado FulcrumSec, revela nesses dados informações críticas de agências governamentais dos Estados Unidos. De acordo com o post, a invasão ocorreu na semana passada, explorando um contêiner React vulnerável que concedeu acesso não autorizado ao ambiente de produção da empresa. Ao portal Bleeping Computer, a LexisNexis confirmou que “hackers invadiram seus servidores e acessaram algumas informações de clientes e da empresa”.
“A LexisNexis Legal & Professional investigou uma questão de segurança e, com base na investigação e nos testes realizados até o momento, acreditamos que o problema está sob controle. Não temos evidências de comprometimento ou impacto em nossos produtos e serviços”, disse o porta-voz. “Contratamos uma empresa de cibersegurança forense de renome para nos auxiliar na investigação e resposta, e relatamos o ocorrido às autoridades policiais.”
O post na dark web afirma que foi acessado o data warehouse Redshift de produção, 17 bancos de dados VPC, o AWS Secrets Manager e a plataforma de pesquisas Qualtrics. A operação foi possível porque a função “LawfirmsStoreECStackRole” tinha permissão de leitura irrestrita ao Secrets Manager, resultando na extração de 53 secrets em texto puro.
Dados Governamentais e 400.000 Perfis Expostos
Segundo o post, o banco de dados extraído contém aproximadamente 400.000 perfis de usuários na nuvem com nomes reais, e-mails, números de telefone e funções profissionais. Além disso, foram localizados 118 endereços de e-mail com domínio .gov, pertencentes a funcionários do Departamento de Justiça, da SEC, do Poder Judiciário Federal, além de 19 assessores jurídicos, 15 agentes de liberdade condicional, quatro advogados e três juízes.
A publicação inclui uma lista parcial de autoridades, incluindo membros da Administração de Recursos Humanos de Nova York, do Judiciário da Califórnia, do Departamento de Investigação de Nova York e do Centro Judicial Federal. O post afirma classificar esses indivíduos como “pessoas cujas pegadas digitais têm implicações para a segurança nacional”.
Senhas Reutilizadas e Falhas Críticas
A análise dos 53 secrets extraídos do AWS Secrets Manager revelou práticas preocupantes de segurança. Conforme os documentos vazados, a mesma senha mestra do RDS era reutilizada em pelo menos cinco sistemas diferentes, incluindo credenciais de banco Oracle de produção, autenticação Aurora, plataforma DigitalPlatform e ferramentas de análise de dados. A senha do Redshift master também aparecia em duas entradas distintas. O usuário FulcrumSec afirmou ter contatado a LexisNexis, e disse que a empresa optou por não negociar resgate pelos dados.
