Vazamento de dados de Bukalapak

O conjunto de dados verificado continha endereços de e-mail, nomes de usuário, endereços IP, nomes e hashes de senhas protegidos com bcrypt e SHA-512 com salt. Não há evidências de que senhas em texto simples tenham sido distribuídas, mas o uso de hashes robustos não elimina o risco causado por senhas fracas ou reutilizadas. Anúncios em fóruns também alegavam a presença de campos como endereços, datas de nascimento ou números de telefone, mas esses campos não foram incluídos porque não foram suficientemente comprovados nas categorias canônicas de dados. O número de 13.369.666 corresponde a endereços de e-mail únicos; não representa o total de linhas, a base completa de usuários da Bukalapak nem o número de pessoas afetadas pela exposição de cada campo.

O registro se refere a dados de backup da Bukalapak que abrangem o período até 23 de outubro de 2017. O incidente foi descoberto em março de 2019 e incluído em catálogos públicos de vazamentos em abril de 2019. O método de acesso inicial, a vulnerabilidade explorada e o sistema exato do qual o backup foi retirado não foram confirmados, portanto nenhum vetor de ataque detalhado é apresentado como fato. Em maio de 2020, o reaparecimento de aproximadamente 13 milhões de registros da Bukalapak foi interpretado como um novo incidente. A empresa afirmou que sua investigação constatou que os relatos em circulação se referiam à tentativa do ano anterior e que não havia ocorrido um novo vazamento. Um conjunto separado de 91 milhões de registros, noticiado na mesma época, pertencia a outra plataforma indonésia de comércio eletrônico e não deve ser somado ao total da Bukalapak.

O maior risco é para quem tinha uma conta na Bukalapak antes do fim de 2017 e reutilizava a mesma senha em outros serviços. Quem encerrou ou abandonou a conta há anos ainda pode estar exposto, pois um endereço de e-mail, um nome de usuário e um hash de senha podem continuar circulando sem alterações. Senhas curtas, previsíveis ou baseadas em palavras de dicionário são mais vulneráveis a tentativas de adivinhação offline, mesmo quando protegidas com bcrypt ou SHA-512 com salt. O risco aumenta se a mesma senha era usada na conta de e-mail, pois o acesso ao e-mail pode expor links de redefinição de senha de muitos serviços. Registros que contêm nome e endereço IP são mais úteis para ataques de phishing direcionados que mencionam uma localização ou compras anteriores. Uma correspondência não significa que cartões de pagamento, contas bancárias ou documentos de identidade tenham sido expostos; esses campos não estão entre as categorias de dados verificadas.

Se você se lembra da senha usada na Bukalapak em 2017, identifique todas as contas que ainda usam a mesma senha ou uma semelhante. Comece pelas contas de e-mail, bancárias, de compras e de redes sociais e crie uma senha exclusiva e longa para cada serviço; um gerenciador de senhas confiável facilita a eliminação da reutilização. Ative a verificação em duas etapas na Bukalapak e na conta de e-mail e, em seguida, verifique as sessões ativas e os dispositivos conectados. Confira se há alterações que você não reconhece no endereço de e-mail de recuperação, no número de telefone e nas regras de encaminhamento. Não responda a uma mensagem que use um pedido na Bukalapak, um reembolso, um pagamento a um vendedor ou uma indenização pelo vazamento como pretexto para solicitar uma senha, um código de uso único ou um pagamento. Abra o aplicativo ou digite você mesmo o endereço oficial, em vez de acessar o link fornecido. Se aparecer um alerta de tentativa de login malsucedida, uma redefinição de senha inesperada ou uma notificação de novo dispositivo, altere imediatamente a senha da conta em questão e encerre as demais sessões. Guarde a data e os dados do remetente de qualquer contato suspeito e denuncie ao provedor do serviço.

Credenciais antigas retiradas de backups podem circular por anos, por isso a proteção não deve terminar quando a atenção ao incidente diminuir. Use os relatórios de segurança do gerenciador de senhas para substituir regularmente senhas reutilizadas, fracas ou já expostas. Trate a conta de e-mail como o centro da sua identidade digital e proteja-a com uma senha forte, verificação em duas etapas e opções de recuperação atualizadas. Se você usa o mesmo nome de usuário em várias plataformas, lembre-se de que invasores podem estabelecer conexões entre essas contas. Uma mensagem sobre compras que informa corretamente um nome ou um detalhe de pedido não é automaticamente confiável; verifique-a de forma independente no histórico de pedidos do aplicativo. Antes de encerrar uma conta que você não usa, remova os meios de pagamento salvos, os aplicativos conectados e os campos desnecessários do perfil. As políticas de retenção de backups e de acesso a eles precisam da mesma proteção que os sistemas de produção. Quando surgir outra alegação de vazamento da Bukalapak, compare a data, o total de contas únicas e os campos expostos para determinar se é um novo evento ou se são dados antigos voltando a circular.

Pesquise no LeakData.io usando o endereço de e-mail que você utilizava na Bukalapak por volta de 2017 para verificar se ele corresponde a este registro. Uma correspondência indica que o endereço está presente no conjunto de dados verificado; não significa que o nome de usuário, o endereço IP, o nome e o hash da senha estivessem todos completos no mesmo registro. Um resultado vazio não prova que nenhuma conta criada com outro endereço esteja presente, portanto verifique separadamente seus antigos endereços profissionais e pessoais. Nunca forneça uma senha, um hash de senha, um código de uso único, informações de pagamento ou um documento de identidade em resposta a um resultado de pesquisa. Se houver uma correspondência, priorize a eliminação da reutilização de senhas antigas, a proteção da conta de e-mail e a ativação da verificação em duas etapas. Não some os anúncios de venda de dados da Bukalapak de 2020 ao total como se fossem um incidente separado envolvendo 13 milhões de contas. Da mesma forma, não atribua a este registro o número de 91 milhões de registros que pertence a outra plataforma. Manter separados os limites de cada incidente e de cada contagem evita que o risco seja exagerado ou atribuído à organização errada.