Vazamento de dados de Benchmark

Os tipos de dados verificados no vazamento da Benchmark são endereços de e-mail, endereços IP, nomes de usuário e senhas. O nome de usuário está vinculado ao identificador do fórum e, se o mesmo apelido for usado em outras plataformas, pode permitir a associação dos perfis de uma pessoa na internet. O endereço de e-mail identifica o titular da conta, enquanto o endereço IP pode fornecer indícios sobre a região aproximada de conexão ou o histórico de uso da conta. Quanto ao campo de senha, como ele é armazenado apenas no formato MD5, há o risco de a senha ser descoberta se for fraca ou reutilizada.

O uso de salt dificulta a comparação direta de senhas em massa; no entanto, o MD5 é um método rápido que já não é considerado seguro. Por isso, senhas curtas, previsíveis ou já encontradas em outros vazamentos estão particularmente em risco. Invasores podem testar a combinação de e-mail, nome de usuário e senha em diferentes fóruns, serviços de e-mail, plataformas de jogos ou contas de lojas de tecnologia. Mesmo que uma conta de fórum pareça pouco importante, o impacto do vazamento aumenta se a mesma senha for usada em outros lugares.

O registro da Benchmark na LeakData é acompanhado no nível das contas e abrange 93.343 contas. A data registrada para o incidente é 1 de novembro de 2019. O escopo verificado está associado aos registros do fórum Benchmark.rs. Os comentários do administrador indicam que o vazamento pode estar relacionado a uma instância antiga do software de fórum usado anteriormente. Portanto, o incidente não deve ser interpretado como uma violação mais ampla que envolva todo o sistema de gerenciamento de conteúdo ou os sistemas de pagamento do site de notícias de tecnologia.

Neste registro, os campos de dados verificados são endereço de e-mail, endereço IP, nome de usuário e senha. Nome, número de telefone, endereço físico, cartão de pagamento, mensagem privada, publicação no fórum ou histórico de compras não estão incluídos como campos de dados verificados. Essa restrição é mantida para evitar que alegações desnecessárias induzam o usuário ao erro. Ainda assim, como os dados de senha e IP estão presentes em conjunto, o registro deve ser levado a sério quanto à segurança da conta e à associação de perfis na internet.

O primeiro grupo em risco é o de usuários que criaram uma conta no fórum Benchmark.rs e daqueles que usam o mesmo e-mail ou nome de usuário em outras comunidades de tecnologia. É comum que nomes de usuário se repitam em fóruns de hardware, software, jogos e tecnologia. Isso pode ajudar um invasor a associar diferentes perfis pertencentes à mesma pessoa. Se a mesma senha também for usada em outros fóruns ou contas de e-mail, o risco pode se transformar diretamente em tentativas de tomada de controle de contas.

Usuários de fóruns de tecnologia podem, ocasionalmente, compartilhar informações pessoais no contexto de compras de hardware, vendas de produtos usados, garantias, assistência técnica ou contas comerciais. Embora esses campos adicionais não tenham sido verificados neste registro da Benchmark, a combinação do e-mail e do endereço IP com a identidade usada no fórum pode ser suficiente para direcionar mensagens específicas. Quem se cadastra com um e-mail de trabalho deve ter cuidado especial se a mesma senha tiver sido usada em sistemas profissionais. Mesmo que a conta do fórum seja antiga, os hábitos de uso de senhas podem afetar contas novas.

Se você encontrar uma correspondência no registro da Benchmark, primeiro verifique se a senha usada na sua conta do Benchmark.rs foi reutilizada em outras contas. Se a mesma senha, ou uma senha semelhante, tiver sido usada em e-mail, redes sociais, fóruns de tecnologia, plataformas de jogos, sites de compras ou contas de trabalho, ela deve ser alterada imediatamente. As novas senhas devem ser exclusivas para cada conta, e a autenticação de dois fatores deve ser ativada sempre que possível.

Também tenha cuidado com mensagens suspeitas enviadas em nome de um fórum ou de um nome de usuário antigo. Uma mensagem pode fazer referência ao seu antigo apelido, ao seu interesse por tecnologia ou à região associada ao seu IP; isso, por si só, não comprova que ela seja confiável. Em vez de clicar em links, acesse sua conta pelo endereço conhecido, examine com atenção os alertas de redefinição de senha e encerre sessões que você não reconhece. Senhas antigas baseadas em MD5 não devem ser reutilizadas em nenhuma conta.

O incidente da Benchmark mostra que contas de fóruns também podem ter um impacto significativo na segurança das senhas. Não reutilize a mesma senha em contas de fóruns, jogos, tecnologia, compras e redes sociais. Usar um gerenciador de senhas, gerar senhas longas e exclusivas para cada serviço e abandonar completamente as senhas antigas é a solução mais robusta a longo prazo. Reduzir a repetição de nomes de usuário também pode dificultar a associação entre perfis de diferentes comunidades.

Para os administradores de fóruns, instâncias antigas de software e plugins devem ser desativados regularmente, os métodos de armazenamento de senhas devem ser atualizados para os padrões atuais e os dados antigos de usuários não devem ser mantidos sem necessidade. O MD5 sem salt já não é suficiente; devem ser priorizados métodos de armazenamento de senhas mais fortes e mais lentos. Do lado dos usuários, as contas antigas de fóruns não devem ser esquecidas e, se possível, devem ser encerradas ou ter suas senhas atualizadas. Um vazamento antigo de fórum pode afetar contas importantes usadas hoje se houver reutilização de senhas.

Ao consultar o vazamento de dados da Benchmark na LeakData, o resultado mostra se o endereço de e-mail informado está presente neste conjunto verificado de dados do fórum Benchmark.rs. Se houver uma correspondência, isso indica que os dados de e-mail, nome de usuário, endereço IP e senha em hash MD5 com salt podem ter sido afetados neste incidente. Esse resultado não significa que houve vazamento de dados de pagamento ou de documentos de identidade; no entanto, exige uma verificação imediata da reutilização de senhas.

Usuários dos domínios com correspondência devem atualizar todas as contas em que usam a mesma senha, verificar o histórico de login das contas importantes e ativar a autenticação de dois fatores. A ausência de correspondência não garante que a senha não esteja presente em outros fóruns de tecnologia ou conjuntos de dados de senhas; indica apenas que nenhuma correspondência foi encontrada neste registro da Benchmark. Este registro foi limitado aos domínios verificados e organizado para comunicar com clareza o risco real à segurança das senhas no contexto de contas de fóruns.