A gigante de serviços de TI Accenture confirmou que sofreu uma violação de segurança em 2023, depois que um atacante ofereceu mais de 35 GB de dados corporativos à venda. A empresa, que presta serviços a governos e empresas em mais de 120 países, revelou que o material roubado inclui código-fonte, documentação de projetos, e informações internas de clientes. O incidente foi descoberto em janeiro de 2024, quando um hacker de perfil desconhecido publicou os arquivos em um mercado de dark web.

O ataque ocorreu durante um período em que a Accenture estava intensificando seu portfólio de soluções de inteligência artificial e automação. A empresa confirmou que o acesso foi obtido por meio de credenciais comprometidas obtidas em um vazamento anterior de dados da própria Accenture. O hacker então extraiu os dados e os disponibilizou para compra a um preço que a Accenture ainda não divulgou.

Para os usuários brasileiros, o impacto pode ser direto. Muitas empresas de médio e grande porte no Brasil dependem dos serviços da Accenture para migrar sistemas legados, desenvolver aplicações personalizadas e implementar soluções de nuvem híbrida. Se os códigos-fonte vazados incluírem componentes usados em contratos brasileiros, pode haver risco de sabotagem, espionagem industrial ou uso indevido de IP. Além disso, o vazamento pode comprometer dados sensíveis de clientes brasileiros que a Accenture atende, colocando essas organizações em risco de não-conformidade com a Lei Geral de Proteção de Dados (LGPD).

O vazamento também destaca um ponto crítico da LGPD: a proteção de dados pessoais em ambientes de terceirização. Quando uma empresa terceiriza serviços de TI, a responsabilidade de proteger os dados permanece com o cliente, mas a autoridade fiscal pode exigir comprovação de controles internos adequados. A Accenture, ao não divulgar detalhes completos sobre as medidas de segurança, deixa dúvidas sobre se os requisitos de privacidade foram atendidos.

Em termos técnicos, a violação parece ter seguido o padrão clássico de “credential stuffing” seguido por “data exfiltration”. Primeiramente, o atacante utilizou credenciais vazadas de um ataque anterior para fazer login em um ambiente interno. A partir daí, ele escalou privilégios com sucesso, obtendo acesso a redes de desenvolvimento e servidores de arquivos. Os dados foram então comprimidos em arquivos ZIP criptografados e transferidos para o servidor de controle do hacker, que os disponibilizou em um marketplace de dark web.

O motivo do interesse em código-fonte corporativo não é apenas o valor monetário que pode ser obtido em mercados de inteligência, mas também a possibilidade de usar o código para criar vulnerabilidades zero‑day em produtos concorrentes ou para engenharia reversa de tecnologias proprietárias. Em 2022, um incidente semelhante envolvendo a empresa de software Oracle resultou em multas de mais de US$ 1 bilhão por violação de dados. A Accenture, portanto, enfrenta não só o risco de perda de IP, mas também a possibilidade de litígios de concorrentes que possam alegar que o código foi copiado ou mal utilizado.

Para empresas que utilizam a Accenture, a primeira ação recomendada é a revisãoPhotography of all contracts and service level agreements (SLAs) to ensure that there are explicit security and data protection clauses. They should also conduct an internal audit of their own access logs, verify that multi-factor authentication (MFA) is enforced across all accounts with external vendors, and ensure that all third‑party access is limited to the minimum necessary privileges.

Além disso, organizações brasileiras devem considerar a implementação de monitoramento contínuo de sua própria rede para detectar qualquer movimentação suspeita que possa indicar vazamento de dados de terceiros. Uma abordagem prática é a criação de alertas de “data loss prevention” (DLP) que bloqueiem a exportação de arquivos de tamanho elevado sem autorização explícita.

No cenário futuro, espera-se que a Accenture continue a divulgar detalhes sobre a extensão do vazamento e as medidas corretivas que estão tomando. O setor de TI brasileiro também deve ficar atento a possíveis campanhas de phishing que visem recrutar funcionários de empresas que dependem da Accenture, aproveitando o episódio para espalhar malware ou roubo de credenciais. Reguladores como o Anatel e o Ministério da Justiça podem iniciar investigações sobre o cumprimento das obrigações de segurança, dado que a violação pode ter exposto dados de clientes regulados.

Em síntese, o incidente convida a uma reflexão mais ampla sobre a terceirização de serviços de TI e a necessidade de revisão contínua dos contratos e das práticas de segurança. Empresas brasileiras que dependem de provedores globais, como a Accenture, devem agora reforçar as camadas de defesa, revisar suas políticas de acesso e garantir que a LGPD não seja apenas um requisito legal, mas um compromisso de proteção de dados efetivo. A expectativa é que, nos próximos dias, a Accenture divulgue um relatório detalhado sobre a origem do ataque e as ações de mitigação, enquanto o mercado observa de perto as lições que esse vazamento pode trazer para a proteção de propriedade intelectual em ambientes corporativos globais.

Fonte: BleepingComputer