Um provedor de telecomunicações que atua na Letônia expôs mais de 125 milhões de mensagens de texto por meio de um banco de dados não seguro, potencialmente comprometendo comunicações sensíveis de bancos, prestadores de serviços de saúde, varejistas e instituições públicas em todo os países bálticos. Os registros incluíam códigos de autenticação, transações financeiras, informações médicas e dados pessoais de contato.
A exposição envolveu a CSCTelecom, uma empresa que oferece serviços de mensagens empresariais para organizações na Letônia, Lituânia e Estônia. Pesquisadores de segurança descobriram o banco de dados público ClickHouse em 28 de setembro de 2026, encontrando registros que vão de outubro de 2022 a setembro de 2026.
Ao contrário de um vazamento histórico comum, o banco de dados recebia novas mensagens em tempo real. Mais de três milhões de mensagens SMS foram processadas somente em setembro, o que significa que qualquer pessoa com acesso poderia potencialmente monitorar as comunicações recebidas conforme eram transmitidas.
As informações expostas incluíam números de telefone dos destinatários, conteúdo completo das mensagens, carimbos de tempo de envio, nomes das organizações dos clientes e detalhes do roteamento da rede móvel. Alguns registros também continham custos de entrega de mensagens e outros metadados operacionais.
Entre as organizações afetadas estavam as operações letãs do Swedbank e da SEB. As mensagens associadas ao Swedbank continham números de conta bancária, valores das transações, destinatários dos pagamentos, saldos restantes e detalhes identificando certas compras.
Outras comunicações expostas incluíam códigos de autenticação únicos, senhas temporárias e mensagens de verificação de conta. Essas informações poderiam potencialmente permitir que criminosos acessassem contas online caso interceptassem códigos válidos ao iniciar ou explorar um processo de autenticação.
O banco de dados também continha mensagens associadas ao serviço de emergência 112 da Letônia, incluindo números de telefone e detalhes do incidente. Seguradoras como ERGO e Compensa estavam representadas, com algumas comunicações revelando informações relacionadas à apólice, números de registro de veículos e valores das faturas.
Várias empresas lituanas apareceram nos registros expostos, incluindo IKI, Akropolis, PerlasGo, Autoplius e EuroCash. As informações variavam desde códigos de verificação de clientes e atualizações de compras até notificações de segurança sobre propriedades protegidas.
Mensagens relacionadas a viagens da airBaltic continham dados de contato dos passageiros, informações de voo e sobrenomes. Organizações de saúde, incluindo clínicas odontológicas lituanas, também foram afetadas, com alguns registros revelando informações sobre exames médicos e comunicações relacionadas a consultas.
O incidente levanta preocupações além da exposição imediata de mensagens individuais. Combinar vários anos de comunicações associadas a um único número de telefone pode revelar as relações bancárias, hábitos de compra, arranjos de viagem, interações médicas e circunstâncias financeiras da pessoa.
Pesquisadores também alertaram que a natureza em tempo real da exposição criou oportunidades para tomada de conta de controle. Criminosos que monitoram códigos de autenticação recebidos ou links de redefinição de senha poderiam potencialmente explorá-los antes que seus destinatários pretendidos concluíssem os procedimentos de segurança relevantes.
Os pesquisadores notificaram o CSCTelecom sobre o banco de dados exposto em 29 de setembro. Posteriormente, confirmaram que o acesso público havia sido fechado até 27 de outubro, quase um mês após a descoberta inicial.
No entanto, a investigação não estabeleceu se agentes maliciosos acessaram ou baixaram as informações antes que o banco de dados fosse protegido. Atualmente, não há evidências confirmadas de que as mensagens expostas foram usadas para comprometer contas de clientes.
O incidente também levanta questões sobre por que o provedor de mensagens manteve anos de comunicações contendo informações pessoais sensíveis. De acordo com as regras europeias de proteção de dados, as organizações devem limitar a retenção de dados pessoais a períodos justificados por fins legítimos de tratamento.