Regulador federal de seguros dos EUA confirma violação de dados após falha em sistema da Oracle

A violação da NAIC foi causada por um zero-day no Oracle PeopleSoft com CVSS 9,8, classificação crítica, que permitia execução remota de código sem autenticação. A Oracle divulgou o aviso oficial em 10 de junho de 2026, um dia antes da detecção do ataque na NAIC. O grupo ShinyHunters explorou essa falha em uma campanha coordenada que atingiu ao menos quatro organizações além da NAIC: Amazon One Medical, Conselho da Europa, Kodak e DentaQuest. Os dados vazados somam 3,1 TB e incluem 45.000 arquivos de agências de classificação (Moody’s, Fitch, S&P), 264.000 documentos regulatórios de seguradoras (2017, 2024) e logs de infraestrutura com credenciais vinculadas a sistemas ativos, detalhes confirmados pela Infosecurity Magazine e pelo BleepingComputer.

O ataque não comprometeu dados pessoais sensíveis como CPF, RG, cartões ou contas bancárias, nem sistemas centrais como SERFF, OPTins ou RDC. A NAIC reafirmou isso em seu comunicado de 26 de junho, citando validação de especialistas externos. A suspensão temporária da atribuição de designações a investimentos de seguradoras ocorreu porque agências de rating pausaram os feeds, impacto direto da exposição de seus próprios dados de avaliação dentro do ambiente comprometido.

Esse caso mostra que softwares de retaguarda, como o PeopleSoft, usado apenas para relatórios financeiros internos, podem se tornar alvos sistêmicos quando implantados por órgãos reguladores. A NAIC não é uma entidade operacional, mas sua infraestrutura sustenta funções críticas do setor: classificação de investimentos, homologação de produtos e coleta de dados regulatórios. Quando um sistema secundário é invadido, o efeito em cadeia atinge centenas de seguradoras, agências de rating e plataformas de compliance, mesmo sem acesso direto a seus sistemas.

O fato de credenciais terem sido encontradas em logs e scripts de banco de dados também revela uma prática comum em ambientes corporativos: armazenamento inadequado de segredos em arquivos de configuração. Isso transforma uma vulnerabilidade de aplicação em vetor de movimentação lateral, ampliando drasticamente o alcance do ataque, um padrão observado também nos casos da DentaQuest e do Conselho da Europa.

Para desenvolvedores e equipes de segurança, o incidente reforça três pontos práticos: primeiro, que aplicações legadas com suporte ativo (como PeopleSoft) exigem escaneamento contínuo de dependências e monitoramento ativo de avisos de segurança, não só de patches, mas de indícios de exploração em tempo real. Segundo, que a presença de credenciais em logs ou arquivos de configuração deve ser tratada como risco de alta prioridade, independente da criticidade do sistema onde estão hospedadas. Terceiro, que a segmentação de rede e o princípio do menor privilégio precisam ser aplicados mesmo entre subsistemas 'não críticos', pois sua interconexão com dados regulatórios pode criar superfícies de ataque invisíveis.