O grupo cibercriminoso ShinyHunters cumpriu sua ameaça e vazou, na última segunda-feira (27), uma base de dados contendo informações de 1,4 milhão de usuários da Udemy. A exposição ocorreu após a plataforma de cursos online se recusar a negociar com os hackers, que haviam estabelecido um prazo para um acordo na última sexta-feira (24).
Em uma publicação na dark web, os invasores criticaram a postura da companhia: “A empresa falhou em chegar a um acordo conosco, apesar da nossa incrível paciência e das ofertas dadas. Eles não se importam”, afirmou o grupo.
O que foi vazado e o alcance do dano
De acordo com o monitor de vazamentos Have I Been Pwned (HIBP), a base de dados exposta é detalhada e coloca os usuários em risco real de fraudes. As informações incluem:
- Nomes completos e endereços de e-mail;
- Números de telefone e endereços físicos;
- Informações profissionais e métodos de pagamento preferidos.
Embora 56% desses e-mails já estivessem presentes em vazamentos anteriores de outras plataformas, o volume é significativo. Considerando que a Udemy possuía cerca de 77 milhões de usuários até 2024, o incidente atinge uma parcela importante de sua base, embora a origem exata do banco de dados comprometido ainda não tenha sido confirmada.
Riscos para os alunos e profissionais
A exposição desses dados é particularmente sensível porque a Udemy é amplamente utilizada para o aprimoramento de carreiras. Especialistas alertam que os usuários agora estão vulneráveis a:
- Spear-phishing: E-mails falsos altamente personalizados usando dados profissionais para roubar senhas.
- Fraudes financeiras: Uso de informações de pagamento e dados pessoais para golpes bancários.
- Engenharia social: Uso das informações para que hackers realizem reconhecimento e ataques direcionados a empresas onde esses usuários trabalham.
Histórico dos envolvidos
A Udemy recentemente passou por mudanças estruturais ao se unir à Coursera, formando uma gigante no setor de educação digital. Já o grupo ShinyHunters é um velho conhecido das autoridades de cibersegurança, acumulando invasões contra alvos de peso, como a Rockstar Games, Hallmark, Amtrak e até a Comissão Europeia.
