Vazamento de dados de Bombuj.eu

As categorias de dados verificadas são endereços de e-mail e senhas. Um endereço de e-mail é um meio de contato que permite aos invasores chegar diretamente ao usuário. O hash de uma senha não é necessariamente uma senha em texto simples; porém, quando se usa uma estrutura fraca como MD5 sem salt, aumenta a probabilidade de recuperar senhas previsíveis. A presença desses dois campos em conjunto expõe o usuário ao risco de tentativas de tomada de controle da conta e de mensagens de phishing direcionadas.

Neste vazamento, como o nome de usuário e outras informações de perfil não foram verificados, a avaliação de risco deve se concentrar especialmente na reutilização do e-mail e da senha. Usar a mesma senha com o mesmo endereço de e-mail em diferentes plataformas permite que invasores tentem acessar outras contas. O risco deve ser considerado maior, sobretudo se a mesma senha for usada em contas de e-mail, redes sociais, armazenamento em nuvem, jogos e compras.

O escopo verificado deste registro do Bombuj.eu abrange 575.437 contas únicas e duas categorias de dados: endereços de e-mail e senhas. A informação de que o campo de senha está no formato MD5 sem salt é importante para orientar as ações do usuário. Por outro lado, dados de cartão de pagamento, documento de identificação, nome, telefone, endereço físico, mensagens privadas ou histórico de consumo de conteúdo não são campos de dados verificados neste registro. Esses limites devem ser respeitados para não apresentar o vazamento como maior ou diferente do que ele é.

O nome do site e o domínio não devem ser confundidos com os de outros serviços semelhantes. Este registro se refere ao serviço de streaming de filmes associado ao domínio bombuj.eu. A contagem no registro considera o impacto por conta individual; a quantidade de linhas ou registros duplicados que podem aparecer em diferentes listas pode não representar a mesma coisa. As orientações de segurança para o usuário devem se basear no número de contas verificadas e nos tipos de dados verificados.

O grupo de maior risco é formado por usuários que criaram uma conta no Bombuj.eu com e-mail e senha e reutilizaram a mesma senha em outros serviços. Se a mesma senha foi usada em contas de plataformas de vídeo, fóruns, jogos ou redes sociais, esse vazamento pode dar aos invasores a oportunidade de testá-la em outras plataformas. Mesmo uma senha usada em uma conta antiga ou esquecida representa um risco atual se ainda for válida em outra conta.

Ao se cadastrar em sites de conteúdo gratuito, os usuários costumam preferir seu endereço de e-mail principal e senhas fáceis de lembrar. Esse hábito aumenta o risco quando o par de e-mail e senha é exposto. Pessoas que se cadastram em muitos sites com o mesmo endereço de e-mail, não usam um gerenciador de senhas ou mantêm o mesmo padrão de senha com pequenas alterações devem avaliar este registro com mais atenção.

Usuários cujos dados correspondam a este registro devem tentar lembrar a senha que usam na conta do Bombuj.eu e alterar a senha de todas as contas que utilizam a mesma senha ou uma semelhante. A prioridade deve ser dada às contas de e-mail, aos serviços bancários e de pagamento, às redes sociais, ao armazenamento em nuvem e às contas de trabalho. Para cada conta, devem ser usadas, de preferência, senhas longas e exclusivas, armazenadas em um gerenciador de senhas.

Como o endereço de e-mail foi exposto, é preciso ter cuidado com mensagens falsas de redefinição de senha, notificações que parecem alertas de segurança e mensagens de phishing que usam plataformas de conteúdo como tema. Em vez de entrar na conta por links recebidos, o usuário deve acessar o serviço diretamente, evitar abrir anexos inesperados e ativar a autenticação de dois fatores nas contas mais importantes. Padrões antigos de senha devem deixar de ser usados, e o histórico de sessões das contas importantes deve ser revisado.

O incidente do Bombuj.eu mostra que serviços on-line que parecem pequenos ou regionais também podem representar riscos sérios para a segurança das senhas. Em vez de usar o endereço de e-mail principal em todos os formulários de cadastro, os usuários devem organizar suas contas de forma mais controlada, gerar senhas exclusivas para cada serviço e encerrar contas que não usam mais. Manter o mesmo padrão de senha com pequenas alterações faz com que vazamentos antigos continuem tendo efeito no futuro.

No contexto corporativo, registros como este levantam a possibilidade de que funcionários reutilizem senhas de contas pessoais em sistemas de trabalho. Controles que impeçam a reutilização de senhas, verificações de senhas vazadas, autenticação multifator e ações regulares de conscientização devem ser implementados em conjunto. Um vazamento de e-mails e senhas que parece simples pode afetar contas mais críticas devido à reutilização de credenciais.

Uma correspondência com um endereço de e-mail neste registro indica que esse endereço está incluído nos dados do Bombuj.eu. O usuário deve primeiro identificar qual senha usava nessa conta e verificar se a mesma senha ou variações semelhantes ainda são válidas em outras contas. Mesmo que não se lembre da senha, padrões antigos de senha usados em 2018 ou antes devem ser considerados arriscados.

Uma correspondência não comprova que a senha seja necessariamente legível por qualquer pessoa; ainda assim, a exposição de hashes de senhas em MD5 sem salt é motivo suficiente para tomar medidas de segurança. O risco de tomada de controle de contas e de phishing decorrente desse vazamento é significativamente reduzido quando medidas como usar senhas exclusivas, ativar a autenticação de dois fatores, avaliar com cuidado os alertas por e-mail e encerrar contas antigas são adotadas em conjunto.