Vazamento de dados de ai.type

O conjunto de dados do teclado virtual ai.type continha contatos da agenda, aplicativos instalados, nomes de redes de telefonia celular, datas de nascimento, informações sobre dispositivos, endereços de e-mail, gêneros, localizações geográficas, números IMEI e IMSI, endereços IP, nomes, números de telefone, fotos de perfil e perfis em redes sociais. Os registros da agenda de contatos podem afetar tanto os usuários do aplicativo quanto terceiros salvos em seus contatos. Senhas, cartões de pagamento e informações financeiras não estão entre as categorias de dados cuja exposição foi confirmada. Pesquisadores relataram a presença de campos de IMEI e de coordenadas, mas a empresa contestou esse relato; não se deve presumir que esses campos sejam precisos e completos para todos os usuários. Nomes, números de telefone, fotos e perfis em redes sociais podem tornar golpes personalizados mais convincentes. Detalhes sobre o dispositivo, a rede, o IP e os aplicativos instalados podem revelar o ambiente técnico do alvo e ajudar um invasor a escolher um serviço relevante ou uma vulnerabilidade de software.

Em 5 de dezembro de 2017, pesquisadores relataram que um banco de dados do ai.type, com cerca de 577GB, estava acessível pela internet sem autenticação. A análise descreveu 31.293.959 registros de cadastro de clientes, 6.435.813 registros de agendas com mais de 373 milhões de entradas de contatos e 753.456 registros em uma pasta mais antiga. Essas contagens têm níveis de granularidade diferentes e não devem ser somadas para obter um total de pessoas. O número de 20.580.060 nesta página é a contagem de referência de endereços de e-mail únicos; os contatos das agendas não são somados ao total global de contas. A empresa afirmou que o banco de dados secundário havia sido desativado, mas a duração da exposição e a ocorrência de downloads por terceiros continuam desconhecidas. As evidências apontam para um repositório público mal configurado, e não para uma invasão que burlou a proteção por senha. Ainda assim, a possibilidade de acesso não autorizado caracteriza o incidente como um vazamento de dados para os usuários.

O principal grupo em risco é formado por pessoas que instalaram o ai.type no Android ou no iOS antes da descoberta em 2017 e concederam acesso aos contatos, aos dados do dispositivo ou às contas em redes sociais. Mesmo quem nunca instalou o aplicativo pode ser afetado indiretamente se um usuário do ai.type tiver salvo seu nome e número de telefone. Um endereço de e-mail, número de telefone, data de nascimento, foto e perfil em rede social reunidos em um único registro podem tornar mais convincentes ligações de falso suporte, golpes de recuperação de contas e phishing direcionado. O IMSI ou os detalhes da rede podem ajudar alguém a se passar pela operadora de telefonia móvel, embora não se deva presumir que os campos contestados estejam presentes em todos os registros. Informações sobre os aplicativos instalados e o modelo do dispositivo podem ajudar a escolher serviços como alvo. A correspondência de um endereço de e-mail não significa que todas as categorias de dados estavam preenchidas para essa pessoa. O risco na prática depende de quão completo é o registro e de os dados expostos ainda estarem atualizados hoje.

Se você usou o ai.type, revise imediatamente as permissões do aplicativo no dispositivo, as contas conectadas e as sessões que não reconhece. Remova o aplicativo se não precisar mais dele; caso contrário, mantenha atualizada a versão da loja oficial e restrinja o acesso a contatos, localização e outras permissões. Ative a autenticação multifator nas contas principais de e-mail e nas contas de redes sociais, verifique os endereços e números de telefone de recuperação e encerre as sessões que você não reconhece. A exposição de senhas não foi confirmada; por isso, em vez de presumir que todas as senhas vazaram, troque as credenciais fracas ou reutilizadas e as de contas com atividade suspeita de login ou redefinição de senha. Adicione um PIN à sua conta na operadora de telefonia móvel para reduzir o risco de portabilidade indevida do número e de SIM-swap. Se alguém ligar e souber detalhes do seu dispositivo, telefone ou perfil em rede social, entre em contato com a organização por um canal que você encontre de forma independente. Nunca informe um IMEI, IMSI ou código de uso único em resposta a uma ligação ou mensagem não solicitada.

Teclados virtuais funcionam em estreita interação com o conteúdo digitado e com funções essenciais do dispositivo. Por isso, examine com cuidado o desenvolvedor, as permissões e as declarações sobre o tratamento dos dados. Questione por que um teclado precisa de contatos, localização ou um identificador persistente do dispositivo; negue acessos desnecessários e remova teclados não utilizados nas configurações do sistema. Mantenha o sistema operacional e os aplicativos atualizados, instale software apenas de lojas oficiais e revise as permissões após atualizações importantes. Senhas exclusivas, combinadas com um aplicativo autenticador ou uma chave de segurança, limitam ataques que exploram a recuperação de contas com base em dados pessoais expostos, embora não houvesse senhas neste conjunto de dados. Restrinja a visibilidade da data de nascimento e do telefone nos perfis em redes sociais e evite usar fatos públicos em perguntas de recuperação. As declarações de privacidade atuais não alteram retroativamente a exposição verificada em 2017. O monitoramento de vazamentos e os alertas de conta podem avisar se dados antigos de identidade ou contato forem reutilizados anos depois.

Consulte seu endereço de e-mail no LeakData para saber se há uma correspondência com o ai.type ou outro vazamento verificado. Uma correspondência indica que o endereço está entre as 20.580.060 contas de e-mail da contagem de referência; isso não significa que todos os registros brutos de clientes ou as centenas de milhões de entradas de contatos pertençam a você. Também não comprova que todos os identificadores de dispositivo ou contatos telefônicos tenham sido expostos. Use a data e as categorias de dados para priorizar as permissões do dispositivo, a segurança do e-mail, as contas de redes sociais e a proteção da conta na operadora de telefonia móvel. Nunca insira uma senha, número de telefone, IMEI ou IMSI no campo de busca; um endereço de e-mail é suficiente. O monitoramento contínuo pode sinalizar conjuntos de dados publicados posteriormente. Mantenha as configurações de recuperação atualizadas, pois vínculos antigos entre e-mail, telefone e perfis em redes sociais podem continuar úteis por anos.