AT&T admite que uma filtração de dados afetou 73 milhões de assinantes ativos e recorrentes

A divulgação de março de 2024 da AT&T é um caso de exposição de contas de clientes de telecomunicações, não uma manchete genérica de contagem de violações. A empresa disse que um conjunto de dados divulgado na dark web parecia ser de 2019 ou anterior e afetou cerca de 7,6 milhões de titulares de contas atuais e 65,4 milhões de antigos. A questão prática é a camada de controle de conta: a AT&T redefiniu as senhas dos usuários atuais, começou a notificar os titulares de contas afetados e enfrentou escrutínio de notificação de violação estadual devido à exposição de números de Seguro Social. A origem dos dados permaneceu não resolvida no registro público, então a leitura mais forte é sobre dados de identidade do cliente, redefinições de senha, risco de fraude e responsabilidade pelo incidente, não atribuição de atacante.

A divulgação da AT&T em 30 de março de 2024 transformou um conjunto de dados há muito contestado em um incidente de segurança de contas de clientes. A AT&T disse que a análise preliminar mostrou que os registros pareciam ser de 2019 ou anteriores e afetaram aproximadamente 73 milhões de titulares de contas atuais e antigos: cerca de 7,6 milhões de contas atuais e 65,4 milhões de contas antigas. A empresa disse que não tinha evidências de acesso não autorizado aos seus sistemas e que ainda estava avaliando se os dados se originaram na AT&T ou em um de seus fornecedores.

O risco de controle de contas reside nas categorias de dados. A AP informou que as informações expostas poderiam incluir números de Seguro Social, códigos de acesso, endereços de e-mail e postais, números de telefone e datas de nascimento, enquanto a AT&T disse que os dados não pareciam incluir informações financeiras nem histórico de chamadas. Os códigos de acesso são importantes porque são PINs de conta usados para atendimento ao cliente, gerenciamento de contas no varejo e acesso a contas online. A AT&T disse que redefiniu os códigos de acesso para os 7,6 milhões de clientes atuais cujos códigos foram comprometidos.

O registro da notificação estadual enfoca o ângulo de proteção ao consumidor. A notificação do Procurador-Geral do Maine lista a apresentação da AT&T com 51.226.382 pessoas afetadas no total para esse aviso, 89.842 residentes do Maine afetados, 26 de março de 2024 como a data de ocorrência e descoberta listada, 10 de abril de 2024 como a data de notificação por escrito aos consumidores, o número de Seguro Social como categoria de dados adquiridos e 12 meses de Experian IdentityWorks oferecidos.

Essa apresentação não substitui a estimativa da AT&T de 73 milhões de titulares de contas; mostra a superfície de notificação regulatória vinculada a informações pessoais sensíveis.

A incerteza deve permanecer visível. O BleepingComputer informou que os dados se assemelhavam a um conjunto de dados mais antigo previamente anunciado em 2021, enquanto a Reuters informou a posição da AT&T de que o incidente não teve um impacto material nas operações. O registro público apoia o alcance dos titulares de contas, a redefinição de códigos de acesso, o risco de dados sensíveis e a resposta de notificação. Não prova um ator de ameaça específico, a rota exata de acesso inicial, a responsabilidade do fornecedor, o nível final de uso indevido ou um resultado de execução regulatória.