Vazamento de dados da plataforma Eduzz inclui dígitos do cartão de crédito

Na segunda-feira, 1, a Eduzz, plataforma de cursos online, confirmou que “foi vítima de uma atividade criminosa de cibersegurança”. Desde a semana passada, um hacker está vendendo dados que teriam vindo da empresa. O criminoso anunciou quase 12,5 milhões de CPFs e CNPJs com nome completo, e-mail, senha criptografa e número de celular. Além disso, há uma lista de usuários com números parciais de cartão. 

Atualmente, o hacker está vendendo a base de dados por US$ 20 mil. No total, são 12.476.181 CPFs e CNPJs que teriam vindo da Eduzz e de empresas relacionadas, incluindo Nutror, Alumy, Blinket e Jobzz. Todos esses serviços utilizam o mesmo login único.

De acordo com apuração do Tecnoblog, que teve acesso a uma amostra grátis dos dados, as informações envolvem:

• Nome completo (ou razão social da empresa);
• CPF ou CNPJ;
• Número de telefone com DDD;
• Endereço de e-mail;
• Senha criptografada. 

O criminoso também disponibiliza uma segunda lista com dados financeiros, mas não confirma ter números dos cartões de todas as 12,5 milhões de contas acima. Nesse sentido, o total pode ser menor, caso parte dos usuários tenha escolhido outra forma de pagamento. Essa segunda tabela, por sua vez, inclui:

• Número parcial do cartão, no formato 1234 56XX XXXX 7890;
• Bandeira do cartão;
• Nome do portador; 
• Gateway que processa o pagamento (Pagar.me, Adyen).

A Edduz enviou um e-mail para os clientes que foram afetados pelo vazamento, avisando sobre o incidente. “As informações que supostamente foram copiadas são referentes a uma parcela limitada da base de dados e contém informações pessoais como nome, CPF, endereço e telefones”, ressalta a mensagem. 

A empresa também afirmou que não sofreu vazamento de cartões de crédito, pois esses dados “ficam em posse dos nossos parceiros de pagamento, que não foram alvos do ataque”. Contudo, ela mesma confirma no comunicado enviado que armazena “partes do cartão de crédito”. 

A empresa alega que essas informações são “inúteis” já que não são suficientes para realizar pagamentos. A Edduz explica que a ausência de alguns dígitos, incluindo o código de segurança (CVV), não são armazenados pela empresa.