CashCrate Vazamento de dados

No caso do CashCrate, os tipos de dados verificados são endereços de e-mail, nomes, endereços físicos e senhas. A exposição de um endereço de e-mail junto com o nome torna mensagens de phishing direcionadas mais convincentes. Já as informações de endereço físico ampliam o risco para além da segurança das contas online: notificações falsas sobre entregas, recompensas, sorteios, impostos ou pagamentos podem ser elaboradas com base na localização do usuário e no contexto das entregas. Essas informações podem ser usadas em ações de engenharia social mesmo anos depois, especialmente no caso de usuários que moram no mesmo endereço há muito tempo.

O aspecto mais crítico do incidente é que algumas senhas estão em texto simples, enquanto outras estão associadas a hashes MD5 fracos. Uma senha em texto simples permite que um invasor tente acessar diferentes serviços sem precisar de qualquer processo de descriptografia. Métodos de hash rápidos de calcular, como o MD5, também não oferecem proteção suficiente contra ferramentas modernas de ataque. Se você usou a mesma senha na sua conta de e-mail, em um site de compras, em redes sociais, em um serviço de pagamento ou na sua conta de trabalho, outras contas além da do CashCrate também podem estar em risco.

O número de contas afetadas verificadas neste registro é 6.844.490. Considera-se que o incidente ocorreu em novembro de 2016, enquanto a divulgação pública do vazamento ocorreu em 2017. As categorias de dados verificadas se limitam a nome, endereço de e-mail, endereço físico e senha. As informações disponíveis ao público apontam que as senhas de algumas contas são armazenadas em texto simples, enquanto as contas mais recentes usam hashes MD5. Portanto, ambos os cenários devem ser considerados na avaliação da segurança das senhas.

Neste registro, campos como número de telefone, data de nascimento, cartão de pagamento, conta bancária, número de documento oficial de identificação ou respostas a pesquisas não foram incluídos nas categorias de dados porque não há evidências com o mesmo grau de verificação para eles. Como as informações de endereço físico foram verificadas, elas devem ser tratadas como uma categoria de risco separada para a segurança dos usuários. Além disso, o número de contas afetadas não comprova o tamanho de toda a base histórica de usuários da plataforma nem que cada linha corresponda a uma pessoa distinta; o número usado aqui representa o escopo das contas verificadas.

Os usuários com maior risco são aqueles que também usam a senha da conta do CashCrate em outras plataformas. Usar a mesma senha da conta de e-mail, ou uma senha semelhante, é especialmente perigoso porque, se a conta de e-mail for comprometida, outras contas poderão ser acessadas por meio de links de redefinição de senha. Se a mesma senha foi usada em sites de compras, serviços de pagamento ou contas de redes sociais, esses serão os primeiros alvos das tentativas de acesso de um invasor. Se o endereço físico também tiver sido vazado, ele poderá fazer com que mensagens fraudulentas pareçam mais personalizadas.

O segundo grupo de risco é formado por usuários que, naturalmente, podem responder mais rápido a mensagens sobre recompensas, pesquisas, promoções e entregas. Usuários de plataformas de recompensas como o CashCrate podem estar acostumados a notificações de pagamento, resultados de sorteios, entregas de encomendas ou mensagens de verificação de conta. Invasores podem explorar essa expectativa enviando links falsos, arquivos maliciosos ou formulários que solicitam informações pessoais. Quando os mesmos dados de nome e endereço são cruzados com diferentes conjuntos de dados, o perfil online e offline do usuário pode se tornar mais detalhado.

A senha usada no CashCrate não deve ser considerada segura. Primeiro, você deve identificar todas as contas em que usou a mesma senha e criar senhas únicas, longas e difíceis de adivinhar para cada uma delas. Contas de e-mail, serviços de pagamento, sites de compras e contas de redes sociais são prioridades. Use um gerenciador de senhas para evitar a reutilização e não reutilize senhas antigas com pequenas alterações. Invasores também podem testar novas senhas criadas a partir da estrutura da senha antiga.

Ative a autenticação multifator na sua conta de e-mail e verifique as sessões recentes, os e-mails de recuperação, os números de telefone e os aplicativos conectados. Como informações de endereço físico foram expostas, tenha cuidado com mensagens sobre encomendas, recompensas, sorteios, pagamentos por pesquisas ou restituições de impostos. Nenhuma plataforma deve solicitar sua senha por e-mail. Não abra diretamente links inesperados; digite você mesmo o endereço do serviço no navegador. Não tome nenhuma providência com base em notificações suspeitas de pagamento ou entrega sem verificá-las pelos canais oficiais.

O incidente do CashCrate mostra que as informações mantidas em plataformas de recompensas e pesquisas também são muito valiosas. A longo prazo, você deve usar uma senha diferente para cada serviço, encerrar contas que não usa mais e não armazenar nas plataformas mais informações pessoais do que o necessário. Informações como endereço físico só devem ser compartilhadas quando forem realmente necessárias. Se não for possível encerrar uma conta, exclua as informações desnecessárias do perfil e use uma senha exclusiva para ela. Ao usar um endereço de e-mail separado para serviços de pesquisas e recompensas, você pode proteger melhor sua conta de e-mail principal.

Na segurança corporativa, a reutilização de senhas pessoais também deve ser levada a sério. Funcionários não devem usar senhas de plataformas pessoais em contas de trabalho. As organizações podem reduzir esse risco com políticas que apoiem a autenticação multifator, a detecção de acessos arriscados, a verificação de senhas vazadas e o uso de gerenciadores de senhas. Os treinamentos de conscientização devem explicar que não apenas grandes vazamentos de redes sociais, mas também plataformas de recompensas e pesquisas aparentemente pequenas podem ser elos frágeis na segurança das contas.

Uma correspondência com um endereço de e-mail neste registro indica que esse endereço aparece na lista de contas verificadas do vazamento de dados do CashCrate. A correspondência não significa que todas as suas contas estejam comprometidas atualmente; no entanto, se a senha vazada foi usada em outros serviços, o risco pode persistir. O primeiro passo é tentar lembrar a senha usada no CashCrate e trocar a senha de todas as contas em que ela possa ter sido usada. Se você não conseguir lembrar a senha, os padrões de senha antigos usados em 2016 também devem ser considerados arriscados.

Você deve avaliar com mais cuidado as mensagens que contêm seu nome, e-mail e endereço físico. Notificações de entrega, recompensa ou pagamento que parecem reais também podem ser falsas. Monitore os alertas de segurança após as trocas de senha e, se receber notificações de acesso inesperadas, encerre todas as sessões da conta em questão. O impacto duradouro deste incidente se deve principalmente à reutilização de senhas; portanto, trocar a senha uma única vez não deve ser considerado suficiente. O uso de senhas únicas e de autenticação multifator deve ser adotado como padrão em todas as contas importantes.