Vazamento de dados de Bookmate

No vazamento do Bookmate, os campos de dados verificados são endereços de e-mail, nomes, nomes de usuário, datas de nascimento, informações de gênero, localizações geográficas e senhas. Endereços de e-mail e nomes de usuário podem ser usados para correlacionar contas. Já o nome, a data de nascimento e as informações de gênero permitem elaborar mensagens mais personalizadas. As informações de localização podem ser usadas indevidamente para identificar o perfil regional do usuário ou criar notificações falsas mais convincentes com conteúdo local.

O armazenamento de senhas no formato SHA-512 com salt reduz a probabilidade de que usuários com a mesma senha gerem resultados idênticos; porém, SHA-512 é uma família de funções de hash que podem ser calculadas rapidamente. Senhas fracas ou reutilizadas podem se tornar previsíveis com o tempo. Por isso, o risco não se limita à conta do Bookmate. Se você usou a mesma senha em contas de e-mail, redes sociais, comunidades de leitores, compras ou trabalho, essas contas também devem ser verificadas.

O escopo verificado deste registro abrange 3.830.916 endereços de e-mail únicos e sete categorias de dados: datas de nascimento, endereços de e-mail, informações de gênero, localizações geográficas, nomes, senhas e nomes de usuário. Dados de cartões de pagamento, números de telefone, endereços físicos, histórico de leitura e conteúdo de mensagens privadas não estão entre as categorias de dados verificadas neste registro. Esses limites são importantes tanto para informar o usuário com precisão quanto para evitar a inclusão de detalhes não verificados no escopo do vazamento.

O incidente diz respeito às contas de usuários do serviço Bookmate; não se deve presumir automaticamente que aplicativos semelhantes de e-books, editoras ou operadoras de telefonia móvel parceiras também tenham sofrido uma violação. O número apresentado no registro indica o impacto sobre endereços de e-mail únicos. Embora o número de linhas ou de registros brutos possa variar entre as fontes, o planejamento deve se basear no número de contas únicas com ações de usuários verificadas e nos tipos de dados verificados.

Os usuários com maior risco são aqueles que reutilizam a senha da conta do Bookmate em outras contas. Devido a campos pessoais como data de nascimento, nome, gênero e localização, os usuários podem ser alvo de mensagens falsas sobre assinaturas, recomendações de leitura, verificação de conta ou campanhas regionais. O risco de correlação de perfis também aumenta para quem usa o mesmo nome de usuário em comunidades de leitores, redes sociais e fóruns.

Como o Bookmate foi um serviço que se expandiu para diferentes regiões no passado, os usuários podem ter se esquecido de contas criadas há muitos anos. Se as senhas dessas contas antigas ainda forem usadas em outros serviços, o risco continua atual. Quem se cadastrou com o endereço de e-mail principal, não usa um gerenciador de senhas ou mantém padrões de senhas antigas com pequenas alterações deve priorizar as medidas relacionadas a este registro.

Se seus dados corresponderem a este registro, identifique primeiro a senha usada na conta do Bookmate e as outras contas em que essa mesma senha é utilizada. Se você ainda usa a mesma senha ou uma senha semelhante em outra conta, altere-a imediatamente. Priorize contas de e-mail, redes sociais, armazenamento em nuvem, compras, assinaturas e trabalho. Criar uma senha longa e exclusiva para cada conta reduz o risco de ataques de força bruta baseados em conjuntos de dados antigos.

Tenha cautela com mensagens personalizadas sobre renovação de assinaturas, falsas recomendações de leitura, segurança da conta ou descontos. Em vez de fazer login por links recebidos, acesse diretamente o serviço correspondente, não abra arquivos inesperados e atualize as informações de recuperação da conta. Ative a verificação em duas etapas nas contas essenciais e deixe de usar variações de senhas antigas.

O caso Bookmate mostra que serviços de conteúdo digital e de assinatura também armazenam dados pessoais de perfil com grande potencial de uso. Revise regularmente as informações de perfil que você compartilha em assinaturas de leitura, música, vídeo e educação. Encerre as contas que não usa mais. Nas contas que não puderem ser encerradas, use senhas exclusivas e limite campos como data de nascimento, localização ou nome de usuário visível publicamente para que não contenham detalhes desnecessários.

Para os prestadores de serviços, incidentes como esse mostram que, além da estrutura de armazenamento de senhas, também são importantes a segmentação dos dados de perfil, o controle de acesso, a gestão de backups e os processos de comunicação de incidentes. Do lado do usuário, a verificação de senhas vazadas, o uso de gerenciadores de senhas robustos, a autenticação multifator e a revisão e exclusão de contas antigas devem ser adotados em conjunto. Mesmo que uma conta de assinatura pareça pouco relevante, seu impacto pode aumentar quando ela é combinada com campos de perfil pessoal.

Uma correspondência com um endereço de e-mail neste registro indica que o usuário está incluído no conjunto de dados do Bookmate. Primeiro, identifique a senha que você usou na conta do Bookmate e, em seguida, verifique se a mesma senha ou variações semelhantes foram usadas em outras contas. As mensagens podem parecer mais pessoais devido a campos como data de nascimento, localização e nome; por isso, examine com cuidado as mensagens sobre segurança da conta.

Uma correspondência não comprova que a senha tenha sido transmitida em texto simples; porém, a exposição de hashes de senhas SHA-512 com salt e de campos de perfil pessoal já é um alerta de segurança suficiente. O risco de tomada de contas e phishing decorrente do vazamento do Bookmate é reduzido quando você combina senhas exclusivas, autenticação de dois fatores, verificação de alertas de e-mail diretamente por um canal confiável e revisão e exclusão de contas de assinatura antigas.