Vazamento de dados de Canva

As categorias de dados verificadas são endereços de e-mail, informações de localização geográfica, nomes, senhas e nomes de usuário. As senhas estão associadas a valores de hash bcrypt nas contas que não utilizam login por redes sociais. Embora o bcrypt seja considerado mais resistente do que métodos antigos e mais rápidos de armazenamento de senhas, o risco permanece para senhas fracas ou reutilizadas em outros serviços. A combinação de endereço de e-mail, nome de usuário e nome pode ajudar invasores a relacionar as contas de uma pessoa em diferentes plataformas. As informações de localização também podem ser usadas em mensagens falsas de suporte, fraudes envolvendo campanhas regionais ou tentativas personalizadas de phishing. Portanto, o incidente não deve ser visto apenas como um problema de uma conta de design: se o mesmo e-mail ou a mesma senha estiverem presentes em outras contas, o risco de tomada de controle de contas se amplia.

No incidente do Canva, o número de contas verificadas é de 137.272.116. Deve-se considerar 24 de maio de 2019 como a data principal do vazamento, 9 de agosto de 2019 como a data de inclusão verificada e também 9 de agosto de 2019 como a data da última atualização da fonte. Os campos de dados se limitam a endereços de e-mail, informações de localização geográfica, nomes, senhas e nomes de usuário. Arquivos de design, informações de cartões de pagamento, conteúdo privado de equipes, documentos oficiais de identidade e dados de contratos corporativos não estão entre as categorias de dados verificadas neste registro específico de segurança de contas. O compartilhamento posterior de alguns hashes de senha Bcrypt que foram quebrados separadamente representa um fator de risco adicional; no entanto, o domínio principal exibido a você ainda deve ser tratado como uma senha. Esses limites oferecem a você uma visão realista e clara do risco.

O maior risco se aplica a quem utiliza o endereço de e-mail da conta do Canva e uma senha semelhante em outros serviços. Designers, gestores de redes sociais, professores, estudantes, equipes de marketing e funcionários que administram contas de marcas estão entre os grupos prioritários. Se uma conta do Canva foi criada com um e-mail de trabalho, invasores podem combinar esse endereço com o nome da empresa, o nome de usuário e as informações de localização para enviar mensagens mais convincentes. Se o mesmo nome de usuário também estiver presente em sites de portfólio, redes sociais ou ferramentas de trabalho, aumenta o risco de relacionar essas contas. Contas antigas do Canva também são importantes, pois senhas usadas no passado ainda podem ser válidas em outros serviços. Para quem tem acesso a contas de equipe, reutilizar senhas pode colocar em risco não apenas a conta individual, mas também os ativos compartilhados da marca.

Se você foi afetado, deve primeiro alterar a senha da sua conta do Canva para uma senha única e forte. Se a mesma senha ou uma semelhante foi usada em outros serviços, priorize a troca nas contas de e-mail, nos perfis de redes sociais, no armazenamento em nuvem, nas ferramentas de colaboração, nas contas de publicidade e nos serviços vinculados a meios de pagamento. Escolha uma senha diferente para cada serviço com um gerenciador de senhas e ative a verificação em várias etapas nas contas em que isso for possível. Confira o endereço antes de clicar em links de mensagens que pareçam ser do Canva ou notificações da equipe de design. Examine com cuidado e-mails falsos sobre compartilhamento de modelos, convites para arquivos da marca, faturas, convites para equipes ou suspensão de conta. Em equipes corporativas, também é necessário verificar as sessões das contas de administradores, os aplicativos conectados e os membros da equipe.

A longo prazo, as plataformas de design e criação de conteúdo devem ser protegidas com o mesmo cuidado dedicado às contas principais de e-mail e às contas financeiras. Usar uma senha única para cada serviço limita os danos decorrentes de um único vazamento de dados. Nas contas de equipe, dê preferência ao acesso baseado em funções, revogue as permissões de funcionários que saíram da empresa e não permita o uso de senhas compartilhadas. Para marcas corporativas, arquivos de design, contas de redes sociais e painéis de publicidade devem ser vistos como partes da mesma cadeia de segurança. Revise regularmente suas contas antigas do Canva e de outras ferramentas de criação abertas com o mesmo endereço de e-mail. O uso de gerenciadores de senhas, a verificação em várias etapas, o monitoramento de sessões e o acompanhamento dos acessos da equipe devem se tornar hábitos permanentes de segurança.

Quando o resultado do Canva aparece no LeakData, entende-se que o endereço de e-mail está incluído no conjunto de dados de contas do Canva de 2019. Esse resultado não comprova que seus arquivos de design ou suas informações de pagamento tenham sido comprometidos; ele se limita aos campos verificados de perfil de risco e segurança da conta. Primeiro, verifique sua conta do Canva e, em seguida, as senhas usadas no mesmo período e as contas importantes abertas com o mesmo endereço de e-mail. Examine primeiro a conta de e-mail, as redes sociais, os painéis de marcas, o armazenamento em nuvem e as ferramentas de colaboração em equipe. O período principal do incidente é maio de 2019, e a data de inclusão verificada é agosto de 2019. Essa linha do tempo evita identificações incorretas de eventos atuais na tela de Segurança da conta e indica a você a ordem correta de prioridades.