Vazamento em call center de Gurugram expõe fraude de ₹2.6 crores em cartões de crédito, 18 presos

Um grande vazamento de dados originado em um call center de Gurugram, hub indiano de terceirização financeira, resultou em uma operação fraudulenta com cartões de crédito no valor de ₹2.6 crores (aproximadamente R$1.6 milhão), com 18 indivíduos presos em conexão com o esquema. O incidente, que passou despercebido por meses, expõe vulnerabilidades críticas no setor indiano de terceirização de processos de negócios (BPO), que está em rápida expansão.

De acordo com relatórios investigativos, funcionários do call center—que prestava serviços de atendimento ao cliente para diversas instituições financeiras—desviaram sistematicamente informações sensíveis de cartões de crédito, incluindo números de cartão, códigos CVV e dados pessoais de identificação. As informações roubadas eram então vendidas para redes criminosas que realizavam transações não autorizadas em múltiplos estados.

Análises técnicas revelam três falhas principais de segurança:

1. Acesso irrestrito a registros completos de clientes para todos os funcionários
2. Ausência de criptografia em bancos de dados com informações de pagamento
3. Falta de monitoramento de transações para detectar padrões anormais de acesso a dados

Profissionais de cibersegurança destacam que este incidente segue uma tendência preocupante no setor de BPO indiano, onde o crescimento rápido superou os investimentos em segurança. "Não foi um ataque sofisticado", explica a analista de segurança Riya Kapoor, de Mumbai. "Foi uma falha na governança básica de dados—o tipo de vulnerabilidade sobre a qual temos alertado há anos em ecossistemas de fornecedores terceirizados."

A Unidade de Cibercrimes de Gurugram utilizou técnicas de rastreamento de transações para identificar as redes de 'laranjas' que movimentavam os dados roubados. Evidências forenses sugerem que a quadrilha operou por pelo menos sete meses antes da detecção, com perdas potencialmente superiores aos valores reportados.

Instituições financeiras impactadas agora enfrentam escrutínio sobre suas práticas de gerenciamento de fornecedores. Diretrizes do Reserve Bank of India exigem controles rígidos para processadores de pagamento terceirizados, incluindo auditorias de segurança regulares e verificações de antecedentes de funcionários—requisitos que aparentemente não foram adequadamente aplicados neste caso.

Para equipes de cibersegurança, o incidente destaca:

• A necessidade crítica do princípio de privilégio mínimo em ambientes de call center
• A importância da tokenização para dados sensíveis de pagamento
• O valor da análise de comportamento do usuário para detectar ameaças internas

Com as investigações em andamento, especialistas antecipam regulamentações mais rigorosas para o setor indiano de BPO de US$ 38 bilhões, que lida com dados sensíveis para instituições financeiras globais. O caso serve como um alerta claro de que, na era de serviços financeiros distribuídos, as cadeias de segurança são tão fortes quanto seu elo mais fraco.