Grupo de hackers DataSuckers reivindica invasão à infraestrutura da Tez Tour

O grupo de hackers DataSuckers anunciou, em 15 de setembro, a invasão da infraestrutura da operadora de turismo Tez Tour. O incidente resultou na indisponibilidade do site principal da empresa e de sua versão destinada a clientes da Bielorrússia.

Os invasores afirmam ter acessado a infraestrutura há cerca de duas semanas, expandindo gradualmente seus privilégios. Segundo o grupo, a porta de entrada foi o serviço de upload de arquivos da Tez Tour, que permitiu o carregamento de um arquivo processado pelo servidor web como código PHP. Isso possibilitou a execução de comandos dentro de um contêiner Docker que, embora isolado, permitia acesso à rede interna da empresa e seus serviços corporativos.

De acordo com a DataSuckers, a invasão permitiu a descoberta de credenciais de repositórios SVN com código fonte e configurações contendo senhas de bancos de dados. Além disso, o grupo alega ter utilizado o Tomcat Manager para executar código em ambiente de produção. Os hackers afirmam ter baixado e destruído mais de 395 milhões de registros, incluindo 45,4 milhões de reservas, 21,5 milhões de pedidos de pacotes turísticos, 52 milhões de reservas de hotéis e 252 milhões de transações financeiras. O grupo também alegou que os administradores utilizavam softwares obsoletos com vulnerabilidades e que os backups estavam armazenados no mesmo servidor que o site.

A Tez Tour confirmou a invasão, mas divergiu quanto às consequências. A empresa declarou que o incidente afetou apenas o funcionamento do site e que não foram encontrados sinais de vazamento de dados de turistas ou parceiros. A companhia informou que seu sistema ERP foi isolado a tempo e não foi prejudicado. A operadora afirmou ainda que as reservas atuais permanecem preservadas e que as obrigações com os clientes continuam sendo cumpridas normalmente.

Até o momento, todos os detalhes técnicos da cadeia de ataques foram fornecidos apenas pela DataSuckers, sem a existência de uma auditoria independente.