O Google confirmou publicamente uma violação de dados Google Ads que expôs informações de contato de potenciais clientes da plataforma de publicidade. Segundo a empresa, a falha ocorreu em uma instância da ferramenta Salesforce, que armazena dados utilizados por equipes comerciais do Google, e resultou no vazamento de nomes comerciais, números de telefone e anotações associadas desses potenciais clientes.
Apesar do impacto significativo, o Google deixou claro que dados sensíveis como informações de pagamento, contas do Google Ads, Merchant Center e Google Analytics não foram comprometidos. Este artigo traz uma análise completa sobre o que aconteceu, quem são os responsáveis pelo ataque, como a violação foi executada e quais são as reais consequências para empresas e profissionais que utilizam a plataforma.
O incidente também revela um risco maior e crescente dentro da segurança da nuvem: a dependência de plataformas terceirizadas como o Salesforce pode abrir brechas críticas para cibercriminosos. Este ataque integra uma série crescente de campanhas maliciosas que exploram a cadeia de suprimentos digital.
O que aconteceu exatamente? A confirmação do Google
A confirmação oficial da violação veio por meio de uma notificação divulgada pelo próprio Google, onde detalhou que a exposição de dados ocorreu por meio de uma instância do Salesforce CRM, utilizada pela equipe comercial para gerir potenciais clientes do Google Ads.
Os dados vazados incluem principalmente nomes comerciais, números de telefone e notas relacionadas às negociações e contatos, informações que, embora não sejam dados financeiros ou confidenciais de contas, são valiosas para ataques posteriores. O Google ressaltou que não houve comprometimento direto de contas do Google Ads, Merchant Center ou Google Analytics, o que limita o risco de acessos não autorizados às plataformas.
Os invasores alegam ter roubado cerca de 2,55 milhões de registros, porém o Google advertiu que esses números podem incluir duplicatas e contatos repetidos, o que não diminui o potencial risco, mas traz cautela na interpretação do volume.
Os autores do ataque: quem são ShinyHunters e Scattered Spider?
O grupo responsável pelo ataque é conhecido como ShinyHunters, uma organização de cibercriminosos já famosa por executar ataques de alto perfil e extorsão digital. Eles são conhecidos por vender grandes volumes de dados roubados em fóruns clandestinos e mercados da dark web.
Além disso, essa operação contou com a colaboração do grupo Scattered Spider, uma facção especializada em ataques por engenharia social e comprometimento inicial de contas corporativas. Essa parceria resultou no codinome informal Sp1d3rHunters para a campanha conjunta.
Enquanto o Scattered Spider foca em obter o acesso inicial, muitas vezes por meio de phishing e manipulação de funcionários, o ShinyHunters se encarrega da extração massiva e posterior comercialização dos dados. Esses grupos já tiveram como alvo empresas globais, incluindo clientes do Snowflake, reforçando a dimensão e sofisticação da ameaça.
O método do ataque: engenharia social e exploração de CRM
O vetor de entrada: engenharia social
A técnica principal usada pelos invasores foi a engenharia social, um método que explora a interação humana para obter credenciais ou induzir funcionários a abrir brechas de segurança. Por meio de ataques de phishing, contatos falsos e outras manipulações, os criminosos conseguiram obter o acesso necessário para atuar dentro da plataforma.
A engenharia social é uma das formas mais eficazes de invasão, porque não depende de falhas técnicas, mas da confiança e comportamento dos usuários. Em ambientes corporativos, essa abordagem pode ser devastadora se os colaboradores não estiverem treinados para reconhecer sinais de alerta.
A ferramenta do crime: Salesforce e suas integrações
Com acesso obtido, os atacantes exploraram a infraestrutura do Salesforce CRM, uma das principais plataformas de gerenciamento de relacionamento com clientes usada globalmente. Segundo o Google, a extração de dados foi facilitada por scripts Python personalizados, que automatizaram a coleta massiva das informações armazenadas.
Além disso, a utilização de aplicativos OAuth maliciosos também pode ser um vetor comum para exfiltração de dados em sistemas integrados, embora o Google tenha destacado a execução via scripts customizados como o principal método.
Esse incidente destaca como a segurança de plataformas terceirizadas, em especial serviços críticos de CRM, é um ponto vulnerável dentro da cadeia de suprimentos digital que as empresas precisam monitorar rigorosamente.
Qual o impacto para as empresas e o que fazer?
Os riscos para as empresas e profissionais cujos dados foram expostos são concretos e imediatos. Os dados vazados — especialmente números de telefone e nomes comerciais — são alvo ideal para golpes de phishing (e-mails falsos) e vishing (golpes por telefone), que se tornam muito mais convincentes ao serem altamente direcionados.
Empresas que interagiram com equipes de vendas do Google Ads devem manter um alerta especial para comunicações suspeitas. Recomendam-se práticas como:
- Verificar a autenticidade de qualquer contato que solicite informações confidenciais ou financeiras.
- Não clicar em links ou abrir anexos de mensagens não solicitadas.
- Treinar equipes internas para reconhecer tentativas de engenharia social.
- Revisar e reforçar controles de acesso em ferramentas de CRM e outras integrações.
A violação reforça a importância de uma abordagem multifacetada de segurança, que envolve não apenas tecnologia, mas também conscientização humana.
Conclusão: a segurança da nuvem e o fator humano
Esta violação de dados Google Ads demonstra uma vulnerabilidade crítica não apenas nos sistemas do Google, mas principalmente na segurança das plataformas terceirizadas que integram o ecossistema corporativo. O ataque sofisticado do grupo ShinyHunters em colaboração com o Scattered Spider expõe o risco da dependência de serviços como o Salesforce CRM e ressalta a importância do fator humano na cadeia de defesa.
Para as empresas, a lição é clara: além de investir em tecnologias avançadas, é crucial fortalecer o treinamento contra engenharia social e revisar continuamente os acessos e permissões dentro dos sistemas de CRM e outras ferramentas conectadas.
Compartilhe este artigo para alertar outros profissionais e ajude a fortalecer a segurança em todo o ecossistema digital.
