Vazamento de dados da BitRewards (2020)

Na avaliação de verificação, foram considerados o nome BitRewards, o domínio bitrewards.com, a data de julho de 2020, a contagem de mais de 427.000 contas e a presença conjunta dos campos de e-mail, nome, telefone e hash de senha no mesmo incidente. A segurança das contas é especialmente importante em plataformas de recompensas em criptomoedas e fidelidade, pois os usuários também podem usar o mesmo e-mail ou telefone em diferentes contas de corretoras, carteiras, compras e recompensas. O registro se limitou aos campos de conta respaldados pelas evidências, sem ampliar seu escopo como se houvesse acesso a ativos financeiros.

O vazamento de dados da BitRewards cria riscos para os usuários, como tomada de controle de contas, phishing com temática de criptomoedas e fraudes com pontos de fidelidade. O endereço de e-mail e o número de telefone facilitam o contato com o usuário tanto por e-mail quanto por mensagem de texto. O campo de nome permite personalizar a mensagem. O campo de hash de senha aumenta o risco de tentativas de usar senhas iguais ou fracas em outros serviços. Os invasores podem preparar mensagens falsas sobre resgate de recompensas, retirada de pontos, vinculação de carteiras, segurança da conta ou verificação de campanhas.

Neste incidente, as categorias de dados visíveis são sensíveis por estarem relacionadas ao contexto de criptomoedas e programas de recompensas. Não se considerou que o registro contivesse uma chave privada ou informações completas de pagamento; no entanto, os campos de e-mail, telefone e hash de senha podem ser suficientes para direcionar ataques a um usuário. No caso dos dados de hash de senha, o uso de senhas fracas, senhas baseadas em palavras de dicionário ou senhas observadas em outros vazamentos pode levar a ataques por tentativa de adivinhação de credenciais. Pessoas que usam as mesmas informações de acesso em diferentes plataformas correm um risco especialmente alto.

Quem tem uma conta na BitRewards ou usa o mesmo endereço de e-mail em programas de criptomoedas, compras ou recompensas deve redefinir a senha da conta relacionada e de todas as contas em que a mesma senha é usada. A verificação deve priorizar contas de e-mail, corretoras de criptomoedas, carteiras, compras, pagamentos e redes sociais. A autenticação multifator deve ser ativada sempre que possível, as sessões antigas devem ser encerradas e os alertas inesperados de acesso devem ser analisados. Links para retirada de recompensas, vinculação de carteiras ou verificação de contas devem ser conferidos por um canal independente.

Para as instituições, o vazamento de dados da BitRewards mostra que a segurança das contas e a comunicação com os clientes em programas de recompensas e fidelidade precisam ser protegidas em conjunto. As equipes de suporte não devem fazer alterações nas contas usando apenas informações de e-mail, telefone ou nome. É necessária uma verificação adicional nos processos de transferência de pontos, alteração de e-mail, atualização de telefone, recuperação de conta e validação de campanhas. Plataformas ligadas a criptomoedas ou recompensas devem fornecer aos usuários avisos de segurança claros e explicar como identificar links falsos de carteiras e mensagens falsas de retirada de pontos.

O registro do vazamento de dados da BitRewards se limitou aos campos respaldados pelo escopo. Foram registradas 427.133 contas; as contagens maiores de linhas que apareciam não foram registradas diretamente como o número de usuários únicos. O registro não incluiu alegações sobre chaves privadas de carteiras, cartões de pagamento, contas bancárias ou dados de documentos oficiais de identificação. Ainda assim, a combinação de e-mail, telefone, nome e hash de senha representa um risco crítico para a segurança das contas. O contexto de recompensas em criptomoedas pode levar os invasores a tornar suas mensagens mais atraentes e urgentes.

O nível geral de risco foi avaliado como crítico, pois o vazamento de dados da BitRewards combina campos de identificação da conta, telefone e hash de senha com o contexto de recompensas em criptomoedas. As medidas mais práticas para usuários que buscam informações sobre o vazamento de dados da BitRewards são não reutilizar a mesma senha, ativar uma verificação adicional nas contas de e-mail e criptomoedas, verificar de forma independente os links de recompensas ou carteiras, não confiar em solicitações de códigos recebidas por telefone e analisar cuidadosamente mensagens preparadas com informações antigas da conta. O relatório foi elaborado para explicar o impacto real sobre a segurança das contas, sem acrescentar alegações financeiras sem respaldo.