Ecopetrol coordena retirada de arquivos vazados

Ecopetrol trabalha com a Fiscalía General de la Nación da Colômbia e o Ministério das Tecnologias da Informação e das Comunicações para retirar da internet o conteúdo vazado e limitar seu acesso, depois do incidente de cibersegurança em seus ambientes de nuvem.

O que se sabe sobre o ataque

Em comunicados posteriores ao incidente, a companhia informou que reforçou suas medidas de cibersegurança em suas plataformas de nuvem e que segue com ações de contenção e análise forense digital sobre o acesso não autorizado. A Ecopetrol também afirmou que o impacto total do caso ainda não foi determinado e que não descarta novas filtragens, disputas judiciais ou efeitos sobre sua operação e sua situação financeira.

A cobertura de El País indicou que o grupo de ransomware-as-a-service The Gentlemen afirmou publicamente ter roubado até 1 terabyte de informação da Ecopetrol e de suas subsidiárias, em mais de 327 mil arquivos. Entre as vítimas citadas pelo grupo estão Hocol, Cenit, Eust, em Houston, Estados Unidos, e Econova, ampliando o alcance conhecido do incidente para além da matriz.

Leitura forense e alcance técnico

Uma análise forense citada pela Caracol Radio estima que os invasores obtiveram cerca de 1 terabyte de informação, o equivalente a 327.095 arquivos. Desse total, 11 foram classificados como críticos e 3 como de alto risco. O mesmo levantamento identificou 429 arquivos relacionados a credenciais e controles de acesso, cerca de 64 GB de dados de operações financeiras e de tesouraria, além de 584 arquivos associados a pagamentos realizados pela Ecopetrol.

O perito forense Yefrin Garavito descreveu o ataque em duas fases. Primeiro, a extração de informações por meio do acesso a credenciais e serviços em nuvem. Depois, uma tentativa de criptografar sistemas para impedir o acesso e exigir pagamento de resgate. Essa sequência reforça a leitura de que o caso tem características de ransomware com componente de extorsão.

Segundo fontes da Fiscalía citadas pela Caracol Radio, o ataque teria começado em uma refinaria da Ecopetrol e explorado o acesso de um terceiro com privilégios de administrador. As mesmas fontes disseram que os invasores usaram Kali Linux para comprometer a área de TI e extrair dados do Active Directory, incluindo e-mails de funcionários e, possivelmente, da diretoria. Também informaram que, apesar da resposta rápida da equipe de cibersegurança da empresa, os atacantes conseguiram levar pouco mais de 1 terabyte de informação.

Perímetro de risco

A Infobae informou que a revisão da Ecopetrol sobre possíveis impactos também alcança as soluções tecnológicas transacionais de subsidiárias e de sua rede de parceiros comerciais e financeiros. Em paralelo, o El Universal de Cartagena destacou que, segundo a companhia, nenhuma das soluções tecnológicas transacionais foi comprometida, de modo que o incidente ficou concentrado em ambientes de armazenamento em nuvem, e não em sistemas de suporte transacional nem em OT.

Coberturas em vídeo da Noticias Caracol acrescentaram que The Gentlemen ameaça divulgar a informação roubada se suas exigências financeiras não forem atendidas, mantendo aberto o frente de extorsão enquanto continua a coordenação com autoridades para limitar a circulação dos arquivos vazados.