Harvard é primeira vítima confirmada de campanha de extorsão a clientes da Oracle

A Universidade de Harvard tornou-se a primeira vítima confirmada de uma série de ciberataques que atingiram clientes do Oracle E-Business Suite (EBS). Os cibercriminosos terão roubado mais de 1,3 TB de dados da instituição e disponibilizado os arquivos online.

O incidente está a ser investigado, mas a universidade garante que apenas uma pequena unidade administrativa foi afetada e que as falhas exploradas já foram corrigidas.

A divulgação aconteceu depois de Harvard ter visto o seu nome referido, a 12 de outubro, num site dedicado a vítimas do ransomware Cl0p. Pouco depois, os cibercriminosos publicaram um link para arquivos que alegadamente contêm dados de Harvard, cuja autenticidade não foi confirmada pela SecurityWeek.

Especialistas em ciberameaças, incluindo o Grupo de Inteligência de Ameaças da Google e a Mandiant, alertam que dezenas de organizações podem ter sido visadas nesta campanha. A sensibilidade dos dados roubados deve variar de acordo com cada vítima, já que os sistemas EBS guardam normalmente informações financeiras, de clientes, fornecedores, recursos humanos e inventário, o que torna o impacto potencial considerável.

Os ataques envolveram envios de emails de extorsão aos executivos das empresas visadas, assinados em nome do grupo Cl0p, conhecido por campanhas anteriores contra clientes de soluções de transferência de arquivos como Cleo, MOVEit, Fortra e Accellion.

Não há confirmação de que um grupo específico esteja por trás da recente campanha contra clientes do Oracle EBS, mas há indícios de ligações ao grupo FIN11, que já esteve envolvido em campanhas anteriores atribuídas ao Cl0p.

A campanha explorou vulnerabilidades, algumas já conhecidas e outras de dia zero, e instalou malware sofisticado nos sistemas afetados. A CrowdStrike detetou os primeiros sinais de ataque a 9 de agosto, mas dados da Google indicam que os ataques podem ter começado a 10 de julho.

A Universidade de Harvard assegura não haver indícios de violação de outros sistemas além da unidade administrativa mencionada.