A Nayax recusa o resgate exigido pelo hacker após a violação dos dados da conta na cloud

A empresa israelita de pagamentos Nayax recusou-se a pagar um resgate exigido por hackers que roubaram registos de transações e documentos comerciais de uma conta na nuvem associada a uma das suas subsidiárias. A empresa cotada na Nasdaq e em Tel Aviv confirmou, a 14 de Julho, que os dados foram exfiltrados, seis dias depois de ter revelado pela primeira vez uma atividade suspeita, a 8 de Julho. O conselho de administração da Nayax decidiu não cumprir as exigências de extorsão dos atacantes, afirmando que pagar não serviria os interesses a longo prazo dos clientes, parceiros, trabalhadores ou acionistas. Os hackers ameaçaram publicar o alegado material roubado caso a Nayax não pague até 21 de Julho. A empresa está a cooperar com as autoridades de aplicação da lei em Israel e nos Estados Unidos, embora o montante do resgate e a identidade dos atacantes permaneçam não divulgados.

Nayax Confirma Conteúdos e Âmbito dos Dados Furtados

A investigação da Nayax concluiu que os hackers copiaram uma cópia de segurança que continha documentos digitalizados, informação relacionada com negócios e registos de transações de pagamentos. A empresa afirmou que os registos de transações não incluíam nomes dos titulares do cartão, códigos de segurança CVV nem informação de identificação, porque, em regra, esses detalhes não são retidos nos seus sistemas. O número de transações contidas na cópia de segurança, as datas abrangidas pelos registos e o número de comerciantes e consumidores afetados não foram divulgados.

Uma parte significativa das transações afetadas envolveu carteiras digitais como Apple Pay e Google Pay, segundo a Nayax. Esses pagamentos utilizam credenciais tokenizadas em vez de dados de cartão reutilizáveis. A empresa reconheceu que a sua revisão do âmbito exato e dos conteúdos completos dos dados roubados continua em curso.

A Nayax reportou o incidente pela primeira vez a 8 de Julho, após detetar atividade anómala numa conta de computação na nuvem associada a uma subsidiária. A conta foi bloqueada depois de a atividade ser identificada. A empresa não divulgou quando começou a intrusão, como os atacantes obtiveram acesso, nem durante quanto tempo permaneceram dentro da conta.

A Empresa Afirma que a Infraestrutura de Pagamentos Permaneceu Segura

A Nayax afirmou que os fundos dos clientes ficaram protegidos e não foram tocados e que os atacantes não obtiveram acesso não autorizado às contas dos clientes. O seu ambiente de produção, sistemas principais e infraestrutura de processamento de pagamentos não foram afetados, e as operações continuaram sem interrupções.

Fundada em 2005, a Nayax fornece aceitação de pagamentos, gestão de comerciantes e tecnologia de fidelização aos operadores de negócios retalhistas tradicionais e não assistidos. A 31 de Março, a empresa tinha 13 escritórios, cerca de 1.250 trabalhadores e ligações a mais de 80 adquirentes de comerciantes e métodos de pagamento. A empresa processa pagamentos em nome de comerciantes, razão pela qual os consumidores poderão ver a Nayax listada nos extratos de cartão após compras feitas em máquinas de venda automática ou noutros terminais de autoatendimento.

Nayax Divulga Desempenho Financeiro e Custos da Violação

A violação ocorreu num período de crescimento rápido e de reestruturação de custos na Nayax. A empresa reportou cerca de 400 milhões de dólares de receita para 2025, mais cerca de 24%, e um lucro líquido de 35,5 milhões de dólares depois de registar uma perda no ano anterior. A Nayax projetou uma receita de 2026 entre 510 milhões de dólares e 520 milhões de dólares.

Pouco antes do incidente cibernético, a empresa, segundo foi noticiado, dispensou 32 trabalhadores, equivalente a cerca de 3% da sua força de trabalho, incluindo 20 posições em Israel. Isso seguiu-se a uma ronda anterior de reduções.

O ciberataque gerou despesas com investigação forense, remediação, revisões de sistemas e resposta ao incidente. A Nayax disse que poderão surgir custos adicionais, embora acordos de seguro ou indemnização possam compensar parte da fatura. A empresa ainda não quantificou esses custos nem divulgou se espera investigações regulatórias, notificações aos consumidores ou litígios em qualquer jurisdição. A Nayax afirmou que, neste momento, não espera que o incidente tenha um efeito material na sua situação financeira ou nos seus resultados operacionais.

FAQ

Que dados é que os hackers roubaram à Nayax?
Os hackers copiaram uma cópia de segurança que continha documentos digitalizados, informação relacionada com negócios e registos de transações de pagamentos de uma conta na nuvem ligada a uma subsidiária da Nayax. Os registos de transações não incluíam nomes dos titulares do cartão, códigos de segurança CVV nem informação de identificação, uma vez que esses detalhes, em regra, não são retidos nos sistemas da Nayax. Uma parte significativa das transações afetadas envolveu carteiras digitais como Apple Pay e Google Pay, que utilizam credenciais tokenizadas.

Quando é que a Nayax divulgou o ciberataque?
A Nayax reportou o incidente pela primeira vez a 8 de Julho, após detetar atividade anómala numa conta de computação na nuvem associada a uma subsidiária. A empresa confirmou a 14 de Julho que os dados foram exfiltrados. Os hackers ameaçaram publicar o alegado material roubado se a Nayax não pagasse até 21 de Julho.

Porque é que a Nayax recusou pagar o resgate?
O conselho de administração da Nayax decidiu não cumprir as exigências de extorsão dos atacantes porque pagar não serviria os interesses a longo prazo dos seus clientes, parceiros, trabalhadores ou acionistas. A empresa está a cooperar com as autoridades de aplicação da lei em Israel e nos Estados Unidos.