Vazamento de dados da bigbasket em 2020

As categorias de dados verificadas são datas de nascimento, endereços de e-mail, endereços IP, nomes, senhas, números de telefone e endereços físicos. Essa combinação pode ajudar criminosos a usar um nome real, informações de contato e o contexto de entrega para criar mensagens falsas sobre envio de produtos, cancelamento de pedidos, reembolsos ou atualização de endereço. As senhas não estavam em texto simples; elas usavam o formato de hash legado Django(SHA-1), que não atende às práticas esperadas atualmente para o armazenamento de senhas e não elimina o risco de tentativas de adivinhação offline de senhas fracas. Dados de cartões de pagamento e de contas bancárias não estão entre as categorias de dados verificadas neste registro.

A data de referência do vazamento é 14 de outubro de 2020. Perto do fim de outubro de 2020, foi colocado à venda um banco de dados que, segundo relatos, tinha cerca de 15 GB e continha quase 20 milhões de registros de clientes. Em novembro de 2020, a bigbasket afirmou que estava avaliando um possível vazamento de dados, investigando seu alcance com especialistas em segurança e que havia registrado uma denúncia junto à Bengaluru Cyber Crime Cell. A empresa também afirmou que não armazenava dados financeiros nem números de cartões. Os dados foram compartilhados de forma mais ampla em abril de 2021, e a análise de referência confirmou 24.500.011 endereços de e-mail únicos. A estimativa inicial de quase 20 milhões de registros e os 24.500.011 endereços de e-mail únicos não representam a mesma medida nem a mesma etapa da análise. O método técnico exato usado para obter acesso não foi divulgado publicamente.

Clientes que tinham uma conta na bigbasket e forneceram um número de telefone ou endereço de entrega durante o período afetado enfrentam o risco mais direto. Quem reutilizou a mesma senha em contas de e-mail, compras, pagamentos ou trabalho está mais exposto a tentativas de acesso com senhas reutilizadas. A combinação de nome, número de telefone, data de nascimento e endereço pode tornar mais convincentes as ligações falsas de atendimento ao cliente e as mensagens relacionadas a entregas. Um endereço IP, por si só, não revela uma localização exata, mas pode acrescentar contexto para relacionar contas e direcionar ataques quando combinado com outros campos do perfil.

Se você ainda usa em alguma conta uma senha que utilizava na bigbasket durante o período do vazamento, troque-a imediatamente e deixe de usar variações semelhantes. Proteja primeiro a conta de e-mail, revise as sessões ativas e as opções de recuperação e ative a autenticação multifator nos serviços que oferecem esse recurso. Não abra links enviados sob o pretexto de um pedido, cupom, reembolso, correção de pagamento ou atualização de endereço; acesse por conta própria o site que você conhece ou o aplicativo oficial. Uma mensagem que contenha seu nome real, número de telefone ou endereço não comprova que o remetente é legítimo, e códigos de verificação de uso único nunca devem ser compartilhados.

Use um gerenciador de senhas para gerar uma senha diferente para cada serviço e separe as contas de compras usando aliases de e-mail dedicados, quando for viável. Remova endereços de entrega e números de telefone de contas antigas que você não usa mais e mantenha atualizadas as informações de recuperação das contas. Mantenha ativados os alertas de login nas contas de e-mail e financeiras e verifique notificações inesperadas de redefinição de senha ou de pedidos por um canal independente. Como informações difíceis de alterar, como endereços e datas de nascimento, podem facilitar a engenharia social anos depois, não considere que uma única troca de senha resolve os riscos deste incidente.

Consulte este registro com o endereço de e-mail que você usava na bigbasket. Uma correspondência significa que o endereço aparece no conjunto de dados canônico da bigbasket; isso não significa que informações de cartões de pagamento ou bancárias tenham sido expostas. Se o resultado for positivo, substitua a senha antiga em todos os lugares onde ela foi reutilizada, priorize a segurança do e-mail e fique atento a golpes relacionados a entregas. Se o resultado for negativo, lembre-se de que ele se aplica apenas a este conjunto de dados e não descarta a exposição em outros vazamentos.