Vazamento de dados de Catho

As categorias de dados verificadas incluem endereços de e-mail, nomes, nomes de usuário e senhas. O campo mais crítico é o de senha, porque senhas em texto simples podem ser testadas em outros serviços sem qualquer processo adicional para decifrá-las. Se você usou a mesma senha ou uma senha semelhante em contas diferentes, um único vazamento pode gerar um risco em cadeia para contas de e-mail, perfis em redes sociais, contas em sites de emprego, serviços financeiros ou sistemas internos de empresas. Já os endereços de e-mail e nomes de usuário permitem que invasores localizem contas, façam tentativas automatizadas de login e explorem os processos de redefinição de senha.

O nome, por si só, pode não parecer uma informação altamente confidencial. No entanto, quando combinado com um endereço de e-mail e um nome de usuário, fornece contexto suficiente para criar mensagens personalizadas. Quem usa plataformas de anúncios de vagas tende, naturalmente, a prestar mais atenção a assuntos como ofertas de emprego, atualizações de currículo, convites de empresas ou agendamento de entrevistas. Por isso, os campos vazados podem ser usados em phishing direcionado, anúncios de emprego falsos, formulários de candidatura com arquivos maliciosos e links disfarçados de verificações de conta. O fato de as senhas estarem em texto simples aumenta o risco, pois o invasor também pode ver diretamente qual senha você costuma usar.

O número de contas afetadas verificado para este registro corresponde a 1.173.012 endereços de e-mail únicos. Também consta que o conjunto de dados associado ao incidente contém aproximadamente 11 milhões de registros; no entanto, esse número elevado não deve ser interpretado como o total de usuários distintos. Nas validações confirmadas publicamente, os campos vazados foram listados como nome, nome de usuário, endereço de e-mail e senha em texto simples. Como não há evidências verificadas no mesmo nível para campos como número de telefone, endereço físico, número de identificação, cartão de pagamento, informações bancárias ou conteúdo de currículo, este registro não inclui essas categorias de dados.

A data do incidente foi indicada como aproximadamente março de 2020. Foi relatado que o conjunto de dados foi posteriormente colocado à venda junto com conjuntos de dados de outros vazamentos. Essa cronologia indica que os usuários podem não ter percebido o vazamento de imediato e que terceiros podem ter testado as senhas por um longo período. Portanto, mesmo que você tenha encerrado sua conta na Catho depois disso, o risco permanece se a mesma senha foi usada em outras contas. Ao avaliar o escopo, é preciso manter a distinção entre linhas repetidas e a contagem de e-mails únicos, sem apresentar aos usuários um impacto maior ou não verificado.

O grupo de maior risco é formado por pessoas que criaram uma conta na Catho e usaram a mesma senha em outros serviços. Para esses usuários, a probabilidade de alguém assumir o controle de suas contas é maior do que em outros vazamentos, porque o invasor já dispõe de uma senha que pode testar. Quem está procurando emprego também pode ser mais suscetível a mensagens falsas de recrutamento, pois nem sempre é fácil distinguir uma oportunidade real de carreira de um link malicioso. Quando nome, e-mail e contexto da plataforma são combinados, as mensagens podem parecer mais pessoais e convincentes.

O segundo grupo de risco é formado por pessoas que usam, na conta da Catho, o endereço de e-mail do trabalho, de uma conta escolar ou de uma conta pessoal utilizada há muito tempo. Esses endereços podem ser associados a círculos sociais, histórico profissional e outras contas online. O vazamento do nome de usuário também pode permitir a busca pelo mesmo apelido em plataformas diferentes. Para as equipes de segurança das empresas, o risco aumenta se os funcionários usam, nas contas corporativas, senhas semelhantes às de suas contas pessoais em sites de emprego. Por isso, é necessário revisar não apenas a conta da Catho, mas também todas as contas associadas às mesmas credenciais.

A senha usada na conta da Catho não deve mais ser considerada segura. Você deve primeiro definir uma senha forte e exclusiva na Catho e, em seguida, fazer o mesmo em todas as contas nas quais usou a mesma senha ou uma semelhante. Se não lembrar se reutilizou a senha em vários lugares, verifique primeiro suas contas de e-mail, redes sociais, sites de emprego, serviços de armazenamento em nuvem e contas financeiras. Um gerenciador de senhas facilita a criação de senhas longas e diferentes para cada serviço.

Ative a autenticação multifator na conta de e-mail e revise os logins recentes e os aplicativos conectados. Encerre sessões suspeitas e remova regras de encaminhamento, endereços de e-mail de recuperação e números de telefone que você não reconhece. Examine com cuidado os anexos e links de mensagens relacionadas à Catho ou à busca de emprego. Ofertas de emprego que exigem pagamento, formulários que solicitam documentos pessoais, mensagens que prometem contratação rápida e páginas que pedem senhas sob o pretexto de verificar a conta devem ser considerados de alto risco.

Este incidente mostra que contas usadas em plataformas de busca de emprego também contêm informações de identidade de alto valor. A longo prazo, usar uma senha diferente em cada plataforma deve ser a regra básica. Você pode limitar os riscos usando um endereço de e-mail separado para contas de recrutamento e carreira, em vez de um endereço divulgado publicamente. Verifique regularmente suas contas antigas em sites de emprego, encerre as que não usa e remova do perfil as informações que não precisam ser mantidas. Isso reduz a quantidade de dados que podem ser expostos em um incidente futuro.

Nas empresas, os treinamentos de conscientização dos funcionários devem explicar claramente que reutilizar senhas de contas pessoais pode gerar riscos corporativos. As contas corporativas devem contar com autenticação multifator, monitoramento de logins suspeitos, políticas que reduzam a reutilização de senhas e controles que aumentem a resistência a phishing. Mesmo que não seja possível impedir o uso do mesmo padrão de senha em contas pessoais e profissionais, processos de alerta antecipado e troca rápida de senhas podem reduzir os danos. As equipes de segurança também devem incluir mensagens fraudulentas relacionadas à busca de emprego em seus cenários de monitoramento.

A correspondência exibida neste registro indica que o endereço de e-mail em questão está incluído na lista de e-mails únicos associada ao vazamento de dados da Catho. Uma correspondência não significa que todas as suas contas tenham sido comprometidas; ainda assim, deve-se presumir que a senha vazada pode ter sido testada em outros serviços. A prioridade é alterar as senhas das contas que usam a mesma senha ou uma semelhante e reforçar a segurança da conta de e-mail. As demais contas não devem ser consideradas seguras até que a conta de e-mail esteja protegida, pois os links de redefinição de senha geralmente são enviados por e-mail.

Verifique mensagens antigas, registros de senhas e contas que você usava no mesmo período em que utilizava a Catho. Leve a sério alertas de login suspeito, e-mails inesperados de redefinição de senha e links que parecem ser ofertas de emprego. Embora o escopo verificado deste incidente seja limitado, seu impacto pode ser duradouro devido à presença de senhas em texto simples. A abordagem mais segura é garantir que a senha vazada não seja mais usada em nenhum serviço, ativar a autenticação multifator e redobrar o cuidado com mensagens relacionadas à busca de emprego.