Um funcionário da contabilidade caiu em phishing, e os dados de clientes da Framework vazaram.
O e-mail se passou pelo CEO e pediu a planilha de contas a receber. Quem respondeu não era da Framework: era do escritório que cuida da contabilidade dela.
Phishing no fornecedorA Framework, fabricante de notebooks reparáveis, avisou clientes de que um funcionário da Keating Consulting, o escritório de contabilidade parceiro, caiu num ataque de engenharia social. Em 9 de janeiro de 2024, às 4h27 no horário do Pacífico, o atacante escreveu ao contador se passando pelo CEO e pediu informações de contas a receber de compras em aberto. Em 11 de janeiro o contador respondeu com uma planilha.
A planilha trazia nome completo, e-mail e saldo devido. A Framework disse que a lista era sobretudo de pré-encomendas em aberto, com alguns pedidos já concluídos ainda na fila contábil, e que aqueles dados permitiriam alguém se passar pela marca para pedir pagamento. A empresa não divulgou quantos clientes entraram na lista. A Keating não comentou publicamente.
Depois do caso, a Framework passou a exigir treino de phishing e engenharia social para quem, entre os consultores, tem acesso a dado de cliente, e a auditar o procedimento dos demais parceiros financeiros.
O e-mail nem precisou chegar na Framework. Chegou em quem guarda a planilha. Fornecedor com dado de cliente é superfície de ataque, e o teste do procedimento tem de ter autorização dos dois lados.
