Edição Especial do “Week in Breach”: O que os principais incidentes cibernéticos de 2025 nos ensinaram 7 de janeiro de 2026

Em uma das ameaças cibernéticas mais significativas de 2025, o ecossistema da Salesforce foi alvo de uma violação generalizada de dados de terceiros, causando comoção em setores de todo o mundo. A violação expôs mais de 1 bilhão de registros em dezenas de empresas globais. A campanha se desenrolou em várias etapas, visando deliberadamente os elos mais fracos do ecossistema: os usuários humanos e as integrações de terceiros.

É importante ressaltar que não se tratou de uma violação direta da infraestrutura central da Salesforce. Em vez disso, os cibercriminosos se aproveitaram de erros humanos e do acesso de terceiros de confiança para comprometer instâncias individuais da Salesforce de clientes. O ataque seguiu um padrão claro e repetível:

• Primeiro, os invasores utilizaram engenharia social e phishing por voz (vishing) para se passar por funcionários da equipe de TI e induzir os funcionários a concederem acesso.
• Em seguida, as vítimas foram induzidas a autorizar aplicativos conectados maliciosos — como versões falsas do Salesforce Data Loader — ou a expor tokens OAuth vinculados a ferramentas legítimas, como Salesloft, Drift e Gainsight. Esses tokens proporcionaram aos invasores acesso persistente à interface de programação de aplicativos (API) e, muitas vezes, contornaram a autenticação multifatorial (MFA).
• Por fim, os invasores utilizaram as APIs do Salesforce para exportar grandes volumes de dados, em busca de credenciais, registros de contas e informações pessoais confidenciais.

O impacto do ataque foi amplo. Entre as organizações afetadas estavam empresas do setor de aviação, como Air France–KLM, Qantas e Vietnam Airlines; marcas do varejo, como IKEA, Adidas e Chanel; e outras grandes corporações, incluindo Google, TransUnion, Toyota e Disney.

A violação foi reivindicada por um grupo de hackers conhecido como Scattered LAPSUS$ Hunters, que lançou um site na dark web para publicar amostras dos dados roubados. O grupo ameaçou a Salesforce e seus clientes com novas divulgações de dados, a menos que fossem pagos resgates. A Salesforce se recusou publicamente a atender a quaisquer exigências de resgate, traçando uma linha clara contra a extorsão.

No final de agosto de 2025, a Jaguar Land Rover foi alvo de um ataque cibernético que se tornou o incidente cibernético com maior impacto econômico da história do Reino Unido, forçando a paralisação dos sistemas em todas as suas operações de fabricação globais e resultando em perdas estimadas em 1,9 bilhão de libras.

A falha teve início em 31 de agosto e rapidamente se transformou em uma grave crise operacional. A produção nas fábricas da JLR foi interrompida por quase cinco semanas, e mais de 5.000 parceiros da cadeia de suprimentos foram afetados, com alguns fornecedores enfrentando até seis meses de dificuldades de crédito.

O ataque foi associado ao grupo “Scattered LAPSUS$ Hunters”, o mesmo grupo ligado à violação do ecossistema da Salesforce e a outros incidentes ocorridos em 2025.

Os ataques cibernéticos contra instituições de ensino dos EUA se intensificaram em 2025, afetando grandes universidades, como a Universidade da Pensilvânia e a Universidade de Princeton, e expondo milhões de registros relacionados a alunos, ex-alunos, funcionários e membros da comunidade.

Na Universidade da Pensilvânia, o ataque veio à tona em 31 de outubro por meio de e-mails que pareciam ter sido enviados pela Escola de Pós-Graduação em Educação, tendo sido comprometidos sistemas ligados a atividades de desenvolvimento e de ex-alunos, incluindo alguns dados bancários. A violação de segurança na Universidade de Princeton, divulgada semanas depois, limitou-se a nomes, informações de contato, endereços e históricos de doações.

Além das invasões generalizadas à rede, os invasores também realizaram campanhas direcionadas contra funcionários da universidade, incluindo uma campanha do tipo “pirata da folha de pagamento” revelada pela Microsoft, na qual os agentes mal-intencionados invadiram plataformas de RH, como o Workday, para desviar os salários dos funcionários.

A Western Sydney University sofreu uma série de incidentes cibernéticos em 2025, que estão entre as violações mais graves relatadas no setor educacional naquele ano.

A universidade identificou atividades incomuns nos dias 6 e 11 de agosto envolvendo um sistema de gestão de alunos hospedado por um provedor de nuvem terceirizado. A investigação revelou que o invasor havia explorado uma cadeia de fornecedores interligados, obtendo acesso por meio de sistemas de terceiros e quartos para extrair dados.

As informações roubadas incluíam números de identificação fiscal, dados de passaporte e informações particulares sobre saúde e deficiência. Em dezembro, um ex-aluno da Western Sydney University foi indiciado em conexão com os ataques.

Em 2 de outubro, a Red Hat confirmou um ataque cibernético envolvendo sua instância do GitLab destinada à consultoria, que teria afetado dados relacionados a mais de 800 organizações. Um dia antes, um grupo que se autodenomina Crimson Collective divulgou publicamente a violação, alegando ter extraído 570 GB de dados compactados de mais de 28.000 repositórios, incluindo relatórios confidenciais sobre o envolvimento dos clientes.

A Red Hat confirmou o acesso não autorizado a uma instância do GitLab hospedada internamente, utilizada para colaboração interna da Red Hat Consulting, que continha especificações de projetos, trechos de código de exemplo, comunicações internas e informações limitadas de contato comercial. A empresa afirmou que o incidente não afetou seus principais produtos nem seus sistemas de produção, embora relatos sugiram que os dados roubados incluíssem quase 3,5 milhões de arquivos relacionados a redes dos setores bancário, de telecomunicações e governamental.