Qantas: 5,7 milhões de registros roubados por meio de uma simples ligação ao suporte técnico

Não houve exploração, não houve 0-day: o roubo massivo de dados na Qantas começou com uma ligação para o centro de chamadas terceirizado. Anatomia de uma violação "vishing" tradicional, e por que isso continua sendo a principal vulnerabilidade em 2026.

Fatos

A companhia aérea australiana Qantas confirmou (por meio de sua investigação pós-incidente e relatada pelo The Register em 16 de julho de 2026) que a fuga de dados que afetou 5,7 milhões de pessoas no início de 2026 teve origem em um golpe do tipo suporte técnico direcionado a um centro de chamadas terceirizado que opera em seu nome.

Os dados expostos: PII (Informações Pessoalmente Identificáveis) — nomes, e-mails, números de telefone, datas de nascimento, status de programas de fidelidade. Não houve vazamento de dados de pagamento nem de senhas, segundo a Qantas, o que limita (mas não elimina) o risco de uso fraudulento direto.

Ponto curioso destacado pelo The Register: a Qantas alega que a fuga não violou a lei australiana de privacidade, sendo a responsabilidade jurídica do prestador de serviços. Interpretação que pouco satisfará os 5,7 milhões de pessoas afetadas.

Análise

Este é um caso clássico da campanha ativa do grupo Scattered Spider / UNC3944 (ou afins) que ataca o setor aéreo e hoteleiro desde 2024. O modus operandi é estável:

1. Reconhecimento social: identificação do prestador de suporte terceirizado (geralmente na Índia ou Filipinas para grandes empresas de língua inglesa).
2. Vishing (phishing por voz): chamada com pretexto de um incidente interno, um usuário em dificuldade ou uma auditoria de qualidade — com tanta audácia que reduz a guarda de um agente.
3. Extração direta via ferramenta de suporte: o agente, acreditando estar ajudando um colega, executa uma consulta de usuário e lê/exporta os dados.
4. Exfiltração silenciosa: nenhuma alerta do SIEM, tudo feito por meio de ações "legítimas" do agente.

É eficaz justamente porque não quebra nenhum controle técnico. O KPI de retenção de clientes de um centro de chamadas terceirizado é incompatível com o KPI de rigor de um controle de identidade — os dois se opõem, e o atacante ganha.

O que fazer agora

Se você é CISO de uma empresa que terceiriza suporte de primeiro nível:

• Mapear os acessos a dados de cada agente externo. O que o agente "deve ver" ≠ o que o agente "pode ver". Reduzir ao mínimo estrito por meio de privilégios mínimos (least-privilege) no aplicativo.
• Retorno obrigatório para qualquer solicitação de suporte "urgente" vinda internamente: retorno via catálogo oficial, nunca pelo número fornecido pelo chamador.
• Registro + revisão de exportações massivas e acessos incomuns por agentes de suporte (detecção de anomalias por volume/hora/usuário-alvo).
• Sensibilização direcionada dos agentes externos sobre cenários de vishing/engenharia social, com exercícios trimestrais.
• Cláusula contratual com o prestador impondo os mesmos padrões de MFA/monitoramento que para os internos.

Para o usuário final da Qantas exposto: monitorar tentativas de phishing personalizadas ("olá Sr. X, seu programa Frequent Flyer indica...") — é exatamente isso que os 5,7 milhões de registros roubados vão alimentar nos próximos meses.