Violação de dados na CTS de Estrasburgo: cerca de 230.000 contas de clientes afetadas. O que a empresa deve fazer, o que esperar depois de um vazamento e como evitar o phishing

O que aconteceu

Em 28 de outubro, a Compagnie des transports strasbourgeois (CTS), que opera os bondes e ônibus de Estrasburgo, anunciou uma violação de dados. Segundo a empresa, dados de cerca de 230.000 contas de clientes foram extraídos por meio do uso ilícito de seu site — aproximadamente quatro em cada dez das cerca de 586.000 contas.

O que foi levado, segundo a CTS: sobrenome e nome, data de nascimento, endereço e identificadores de conta. A empresa afirma que dados bancários e senhas não estavam entre eles. A CTS diz que interrompeu a extração assim que a detectou, reforçou a segurança de seu site, comunicou o incidente à CNIL, informou os clientes envolvidos e pretende apresentar queixa. Quando a intrusão ocorreu e quanto tempo durou não foi divulgado.

A própria CTS alerta os clientes para que desconfiem de e-mails que afirmem vir da CTS e peçam qualquer informação, especialmente dados bancários.

Por que "sem dados bancários" não significa "sem risco"

Um nome, uma data de nascimento e um endereço não podem, por si sós, esvaziar uma conta bancária. Mas tornam uma mensagem fraudulenta mais convincente: um e-mail que cumprimenta alguém pelo nome e menciona seu endereço é mais fácil de ser considerado confiável. É por isso que a CTS pede que se encare com desconfiança os e-mails enviados em seu nome.

O que as regras exigem da empresa

Segundo as orientações da CNIL sobre o GDPR (RGPD em francês), uma organização que sofre uma violação de dados pessoais:

• deve notificar a CNIL no prazo de 72 horas, no máximo, após tomar conhecimento da violação;
• se o risco para as pessoas for elevado, deve informar diretamente essas pessoas o mais rápido possível;
• deve explicar nessa mensagem, em linguagem clara, o que aconteceu, as prováveis consequências, quem contatar (o DPO ou outro contato) e o que foi feito para limitar os danos — e, quando necessário, dar recomendações como a troca de senhas.

Vale lembrar: um aviso de violação, tal como a CNIL o descreve, explica e orienta. Ele não pede que você responda com o número do seu cartão.

O que os clientes da CTS — e qualquer pessoa após um vazamento — podem fazer

Recomendações do Cybermalveillance.gouv.fr e da CNIL:

1. Não faça nada com mensagens suspeitas. Não clique em links, não abra anexos, não responda. Em caso de dúvida, entre em contato você mesmo com a organização por meio de um site que você não tenha acessado a partir da mensagem (de preferência pelo seu próprio favorito).
2. Verifique links e endereços de sites. Passe o cursor sobre um link sem clicar; confira o endereço do site — um único caractere alterado pode revelar uma falsificação. Organizações legítimas não pedem dados bancários nem senhas por e-mail ou telefone.
3. Senhas. A CNIL aconselha trocar as senhas, começando pelos serviços mais importantes, não reutilizar a mesma senha em vários sites e ativar a autenticação multifator quando disponível.
4. Denuncie a fraude. E-mails suspeitos vão para signal-spam.fr, mensagens de texto suspeitas para 33700, sites falsos para phishing-initiative.fr.

Se você já clicou ou forneceu dados

Segundo o Cybermalveillance.gouv.fr:

• se você forneceu dados do cartão ou vê débitos que não reconhece, faça imediatamente uma oposição junto ao seu banco;
• troque as senhas no site afetado e em todos os lugares onde a mesma senha foi usada; verifique a data do último acesso à conta;
• guarde as provas, sobretudo a própria mensagem fraudulenta;
• registre uma queixa (plainte) em uma delegacia de polícia ou na gendarmerie, ou por escrito ao procurador da República; há apoio gratuito às vítimas da France Victimes pelo 116 006 (diariamente, das 9h às 19h) e orientação do Info Escroqueries pelo 0 805 805 817 (gratuito, de segunda a sexta, das 9h às 18h30).

Em casos de roubo de identidade (usurpation d'identité), a CNIL aconselha registrar uma queixa o mais rápido possível e, uma vez confirmado o roubo, pedir à CNIL uma consulta ao cadastro de contas bancárias FICOBA.

Sobre indenização

A CNIL afirma claramente que não concede indenizações: pleitear reparação de danos é assunto para os tribunais cíveis.

Em resumo

A violação de dados da CTS não é motivo para pânico, mas é motivo para prestar mais atenção a e-mails e mensagens de texto nas próximas semanas. Qualquer mensagem "da CTS", "do banco" ou "de um órgão público" que peça para confirmar dados é melhor verificada pelo site oficial, aberto de forma independente.