Hacker extorque clientes de restaurantes via plataforma HungerRush

O ataque à HungerRush não foi um simples acesso indevido a uma conta de e-mail marketing: foi uma cadeia de falhas operacionais que começou com a infecção por infostealer em outubro de 2025, quase cinco meses antes do primeiro e-mail de extorsão. Segundo Alon Gal, da Hudson Rock, o malware capturou credenciais diretamente do dispositivo de um funcionário, provavelmente via phishing ou download malicioso, e essas credenciais foram usadas para acessar sistemas internos ou ferramentas de terceiros integradas à plataforma. O fato de os e-mails de ameaça passarem pelas verificações SPF, DKIM e DMARC mostra que o invasor explorou uma integração legítima (SendGrid) com permissões excessivas, um erro comum em ambientes de marketing digital mal configurados.

A empresa nega vazamento de dados financeiros, mas admite que informações de contato de até 28 milhões de clientes e comerciantes foram acessadas e usadas para disparos em massa. Isso coloca em xeque sua postura de segurança de dados: se nomes, e-mails, telefones e endereços estão expostos em escala tão grande, o risco não é só reputacional, é de engenharia social direcionada, fraude de identidade e ataques secundários contra os próprios restaurantes clientes, muitos dos quais têm infraestrutura de pagamento precária.

Restaurantes que dependem da HungerRush não são apenas vítimas indiretas: eles são alvos de segunda ordem. Com dados de contato validados e vinculados a transações reais (como recibos digitais), criminosos podem montar campanhas de phishing altamente persuasivas, fingindo ser suporte técnico da própria plataforma ou oferecendo 'atualizações urgentes' no sistema POS. A ausência de proteção contra credential stuffing e a falta de autenticação multifator em contas de integração como SendGrid transformam ferramentas legítimas em armas de ataque. Para empresas de tecnologia para varejo, isso reforça uma lição antiga: segurança não começa no firewall, mas na gestão de identidades e no controle estrito de permissões de terceiros.