Vazamento de dados de CafePress

Os principais tipos de dados cuja exposição foi verificada são endereços de e-mail, nomes, números de telefone, endereços físicos e senhas. Como as senhas eram armazenadas na forma de hashes SHA-1, senhas curtas ou usadas com frequência corriam maior risco de serem recuperadas por meio de tentativas de adivinhação offline. Combinar um endereço de e-mail com um nome, número de telefone ou endereço residencial pode tornar muito mais convincentes o phishing direcionado, os avisos falsos de entrega, os golpes por telefone e os abusos dos mecanismos de recuperação de conta. Uma investigação regulatória também relatou a exposição de milhões de perguntas e respostas de segurança, mais de 180.000 números de seguro social e dezenas de milhares de números parciais de cartões de pagamento e datas de validade. Essas categorias adicionais se referiam a subconjuntos menores e não devem ser interpretadas como se afetassem todos os 23,2 milhões de endereços. Não há base verificada para afirmar que números completos de cartões, códigos CVV ou dados financeiros de todos os usuários foram expostos.

A data de referência do incidente é 20 de fevereiro de 2019. Segundo relatos, um invasor explorou falhas de segurança naquele mês, e a empresa foi informada sobre uma vulnerabilidade e dados roubados de consumidores cerca de um mês depois. Embora a vulnerabilidade tenha sido corrigida, uma investigação aprofundada foi adiada por meses; um novo alerta em abril de 2019 ainda não levou a uma comunicação imediata e clara aos clientes. Os usuários foram obrigados a alterar suas senhas em agosto, mas a solicitação foi inicialmente apresentada como uma atualização geral da política de senhas. O fato de os clientes afetados só terem sido notificados em setembro de 2019 prolongou o período em que senhas e respostas de recuperação roubadas poderiam ser usadas indevidamente. A técnica exata usada para obter o acesso inicial não foi detalhada publicamente, portanto atribuir o incidente a uma exploração específica de vulnerabilidade ou a um método de ataque seria especulativo.

O grupo de risco mais amplo é formado por pessoas cujos endereços de e-mail estavam vinculados a contas da CafePress na época do incidente. Quem reutilizou a mesma senha em outros serviços corre o risco de sofrer ataques de credential-stuffing, enquanto usuários cujos nomes, endereços ou números de telefone estavam presentes podem receber golpes mais personalizados. Pessoas cujas respostas a perguntas de segurança foram incluídas devem tratar as respostas reutilizadas em outros serviços como informações secretas de recuperação de conta comprometidas. O grupo mais restrito cujos números de seguro social foram expostos corre maior risco de roubo de identidade e criação fraudulenta de contas; usuários cujos dados parciais de cartão estavam presentes devem acompanhar de perto a movimentação do cartão e as comunicações do banco. Encerrar uma conta antes do incidente não comprova, por si só, que os dados retidos anteriormente não estavam presentes nos sistemas afetados.

Altere a senha da CafePress e todas as senhas idênticas ou semelhantes usadas em outros serviços, substituindo cada uma por uma senha longa e exclusiva. Ative a autenticação multifator onde estiver disponível e use um gerenciador de senhas para evitar reutilizá-las no futuro. Atualize as respostas que você reutiliza em perguntas de segurança e verifique o endereço de e-mail e o número de telefone de recuperação vinculados às contas importantes. Não acesse links em mensagens inesperadas que mencionem a CafePress e tratem de redefinição de senha, pedidos, reembolsos ou entregas; acesse o serviço digitando você mesmo o endereço conhecido. Pessoas que tenham recebido uma notificação específica de que seu número de seguro social pode ter sido afetado devem consultar seus relatórios de crédito e considerar solicitar um alerta de fraude ou o congelamento de crédito, quando apropriado. Quem teve informações parciais de cartão afetadas deve monitorar as transações e comunicar prontamente qualquer atividade suspeita ao emissor do cartão.

Senhas exclusivas, autenticação multifator e revisões periódicas das opções de recuperação de conta oferecem a base de segurança mais sólida, aplicável a diferentes contas. Se não for possível alterar um endereço de e-mail exposto, trate mensagens inesperadas de acesso e redefinição de senha como sinais de alerta precoce. Como criminosos podem usar informações reais de endereço, telefone e compras para fazer solicitações parecerem legítimas, confirme pedidos urgentes por um canal separado e confiável. Usuários cujos dados de identidade foram afetados devem acompanhar seus relatórios de crédito ao longo do tempo e, ao encerrar contas que não usam, solicitar separadamente a exclusão dos dados ou esclarecimentos sobre os prazos de retenção. Para quem opera serviços, o uso de técnicas modernas de hash de senhas, a criptografia de identificadores sensíveis, a exclusão de dados desnecessários, a resposta a incidentes testada e a notificação oportuna aos clientes são controles duradouros que limitam os danos de futuros vazamentos.

Pesquise seu endereço de e-mail no LeakData para verificar se ele consta no registro do vazamento da CafePress. Consulte apenas endereços que pertençam a você ou que você tenha autorização para verificar. Um resultado positivo significa que o endereço aparece no conjunto de dados verificado; isso não comprova que alguém tenha assumido o controle da conta nem que todos os tipos de dados listados estivessem presentes no seu registro individual. Um resultado vazio não deve invalidar um aviso de segurança recebido por outro canal confiável, pois a cobertura e a verificação do conjunto de dados podem mudar ao longo do tempo. Se houver um resultado positivo, priorize a substituição das senhas reutilizadas e, em seguida, revise as configurações de recuperação e a movimentação financeira de acordo com as categorias de dados relevantes para você.