Cibercriminosos dizem ter roubado dados da fabricante da Budweiser e da Corona
O grupo de ransomware Emperador afirma ter invadido sistemas da AB InBev, multinacional responsável por marcas como Budweiser e Corona. A alegação foi publicada em uma lista de extorsão em 25 de outubro, às 3h22 UTC. Segundo os criminosos, foram obtidos 3,9 GB de informações internas, e a empresa teria de pagar US$ 1 milhão em bitcoin.
Até o momento, a AB InBev não confirmou nem negou a invasão e não se manifestou sobre o caso. Também não há informações verificadas sobre sistemas criptografados, interrupções nas operações, produtos afetados ou pessoas potencialmente atingidas. Portanto, o anúncio do grupo deve ser tratado como uma alegação ainda não comprovada.
Na descrição do suposto material, os criminosos mencionam 329.244 alertas de monitoramento de redes sociais, 2.510 endereços de e-mail corporativos ligados a subsidiárias e aproximadamente 19 mil registros de acesso. A lista também cita dados de um portal interno de serviços e certificados relacionados à infraestrutura de chaves públicas da companhia.
O Emperador atribui a maior parte do volume divulgado – cerca de 3,2 GB – a ativos de armazenamento no Azure. No entanto, não explicou de que forma teria conseguido esses dados. Até agora, não foram apontados uma conta exposta, credenciais ou tokens comprometidos, nem uma vulnerabilidade específica que teria sido explorada.
Outro ponto que dificulta a avaliação é a falta de amostras públicas. Sem arquivos que possam ser examinados, não é possível verificar se os registros são autênticos, de quando datam ou se pertencem de fato à AB InBev. O volume informado, por si só, não comprova que ocorreu uma invasão.
Caso a obtenção dos dados seja confirmada, o risco não dependeria apenas da quantidade de arquivos. Registros de acesso podem revelar informações úteis para mapear sistemas e identificar caminhos para tentar avançar dentro de uma rede. Certificados de infraestrutura também podem ajudar a compreender a organização técnica de uma empresa. A ressalva é importante: certificados contêm chaves públicas, e o grupo não afirmou ter obtido as respectivas chaves privadas.
A data exibida na lista de extorsão tampouco esclarece quando um eventual acesso teria começado. O dia 25 de outubro é apresentado como a data do ataque, mas não estabelece o período em que os criminosos poderiam ter permanecido nos sistemas nem quando os dados teriam sido extraídos.
Listas de ransomware são fontes de inteligência, mas não devem ser interpretadas automaticamente como confirmação de um incidente. Grupos criminosos podem aumentar o volume alegado ou mencionar empresas conhecidas para ampliar a pressão pública durante uma negociação. A ausência de uma amostra verificável torna a acusação ainda mais difícil de avaliar.
Para que o cenário mude, será necessário que surjam evidências capazes de confirmar a origem e a autenticidade do material, ou que a própria companhia divulgue informações sobre o caso. Até o fechamento desta edição, nenhuma dessas confirmações havia sido apresentada. Assim, não há base para afirmar que a empresa foi efetivamente comprometida.
Empresas que mantêm contratos, integrações ou troca de dados com a AB InBev devem adotar uma postura cautelosa, sem tratar o episódio como comprovado. Isso inclui acompanhar comunicados oficiais, revisar alertas de segurança e avaliar se as conexões com a companhia permitem acesso a sistemas internos ou informações sensíveis.
Como medida preventiva, organizações com relações comerciais relevantes podem verificar permissões de contas, credenciais de integração, chaves de acesso e registros de autenticação. A revisão deve priorizar acessos antigos ou excessivamente amplos, além de confirmar que credenciais compartilhadas estejam protegidas e possam ser revogadas rapidamente se houver indícios concretos de comprometimento.
Também é recomendável que equipes de segurança mantenham atenção a tentativas incomuns de login, alterações inesperadas em contas de serviço e transferências atípicas de arquivos. Essas ações são práticas prudentes diante de uma alegação de possível vazamento, mas não significam que tais atividades tenham sido identificadas neste caso.
A empresa ainda não informou se iniciou uma investigação ou se notificará clientes, fornecedores ou funcionários. Até que haja esclarecimento, a distinção entre rumor e confirmação é essencial: o Emperador fez uma reivindicação pública, mas as evidências disponíveis não permitem concluir que os dados foram roubados.