CDEK: conjunto de dados não verificado de vazamento (2022)

Sem extrapolar as evidências disponíveis, os tipos de dados considerados neste registro se limitam a endereços de e-mail, nomes e números de telefone. A métrica registrada é de 19.218.203 endereços de e-mail únicos; ela não deve ser interpretada como uma contagem confirmada de contas de clientes da CDEK, registros de entrega ou pessoas. Uma pessoa pode ter vários dados de contato, e a alegação de que a origem eram os sistemas da CDEK não foi comprovada de forma independente. Endereços de e-mail podem facilitar phishing e a descoberta de contas, números de telefone permitem o envio de mensagens de texto e a realização de chamadas fraudulentas, e nomes tornam as mensagens mais pessoais. A associação com uma marca de entregas pode tornar mais convincentes os golpes relacionados a entregas, taxas alfandegárias, atualização de endereço ou devoluções. Senhas, endereços físicos, dados de passaporte, dados de pagamento, histórico de envios e conteúdo de encomendas não são categorias verificadas neste registro; incluí-los iria além das evidências disponíveis.

Em março de 2022, um coletivo hacktivista publicou mais de 30 GB de dados que, segundo o grupo, vieram da CDEK, marca russa de entregas e logística. A data de 9 de março de 2022 indicada no registro se refere ao conjunto de dados publicado; ela não comprova que a rede da CDEK tenha sido invadida ou que os dados tenham sido extraídos naquele dia. O material foi indexado em 17 de março, e sua autenticidade continuou classificada como “não verificada”. Evidências públicas independentes não estabeleceram se ele veio diretamente da CDEK, de um terceiro ou de uma combinação de outras fontes. O método de acesso inicial, os sistemas afetados, o tempo de permanência em uma rede e as datas de criação dos registros não foram divulgados de forma confiável. Portanto, o evento não pode ser classificado como uma violação interna confirmada da empresa, um incidente envolvendo um fornecedor ou a exploração de uma vulnerabilidade específica. O valor “Desconhecida” no campo de origem expressa essa limitação das evidências, em vez de atribuir uma causa técnica sem comprovação.

Pessoas cujo e-mail, nome ou telefone aparece no conjunto de dados podem estar sujeitas a riscos de engenharia social, mas uma correspondência não comprova que elas eram clientes da CDEK nem que as informações vieram da CDEK. Criminosos podem combinar dados de contato para criar mensagens sobre encomendas atrasadas, falhas na entrega, endereços ausentes, devoluções, cobranças alfandegárias ou chamadas de atendimento ao cliente. Um número de telefone permite abordar a pessoa por mensagens de texto, chamadas de voz e aplicativos de mensagens; o e-mail facilita o uso de páginas falsas de login, anexos maliciosos e a descoberta de contas. Como a presença de senhas não foi verificada, uma correspondência não significa que uma senha tenha sido exposta ou que alguém tenha assumido o controle de uma conta. A métrica de 19,2 milhões também não comprova que todas as linhas contenham os três tipos de dados nem que cada informação continue atualizada. Possível exposição, fraude bem-sucedida e comprometimento confirmado são resultados distintos.

Antes de acessar um link em uma mensagem inesperada sobre uma encomenda, confira o envio pelo aplicativo da transportadora ou digitando o endereço do site dela e verifique as informações por um canal oficial. Use os dados de contato disponíveis no site da empresa, em vez de um número informado na mensagem. Recuse solicitações de dados de cartão, senhas ou códigos de uso único apresentadas como necessárias para corrigir um endereço, pagar uma taxa alfandegária, agendar uma nova entrega ou fazer uma devolução. Ative a autenticação multifator no e-mail, revise os dados de recuperação e as sessões e remova regras de encaminhamento ou senhas de aplicativos que você não reconheça. Como a presença de senhas não foi verificada neste caso, essa correspondência, por si só, não demonstra que uma senha da CDEK tenha vazado; altere senhas reutilizadas que estejam associadas a outros incidentes. Denuncie mensagens de texto suspeitas e páginas fraudulentas e entre em contato com seu banco imediatamente se houver um pagamento não autorizado.

Usar aliases de e-mail separados para compras e entregas pode ajudar a identificar a qual cadastro uma mensagem se refere e facilitar a identificação de fraudes. Uma senha diferente para cada serviço, armazenada em um gerenciador de senhas, reduz o risco de tomada de controle de contas decorrente de outros incidentes, embora nenhum comprometimento desse tipo tenha sido verificado aqui. Use autenticação multifator no e-mail e em contas importantes, de preferência por meio de um aplicativo autenticador ou uma chave física de segurança. Configure um PIN junto à operadora de celular e ative alertas de portabilidade do número para reduzir o risco de troca fraudulenta de SIM. Remova endereços e telefones desatualizados dos perfis em serviços de entrega, desative permissões de marketing desnecessárias e considere excluir contas que você não usa. Confira o domínio real do remetente, em vez de confiar no nome exibido, pois os filtros não conseguem bloquear todos os golpes. Dados de contato continuam úteis por anos, por isso revise periodicamente possíveis exposições e a segurança das suas contas.

Uma correspondência de e-mail significa que ele apareceu no conjunto de dados não verificado publicado em março de 2022 e atribuído à CDEK. Isso não comprova que a pessoa era cliente da CDEK, que os dados saíram dos sistemas da empresa, que uma conta foi comprometida ou que uma senha foi exposta. Trate o resultado como um alerta: examine com cuidado e-mails e mensagens recebidas pelo telefone sobre entregas e revise as sessões e as opções de recuperação de contas importantes. A ausência de correspondência não é garantia absoluta de segurança, pois você pode ter usado outro endereço, aparecido apenas em um campo de telefone ou nome, ou sido afetado por outro conjunto de dados não verificado. Os serviços de consulta abrangem apenas o material indexado. Mantenha os termos “atribuído à CDEK” e “não verificado”; não compartilhe o resultado como uma violação confirmada da empresa. Ao avaliar mensagens suspeitas, considere em conjunto o domínio real do remetente, o destino do link, a pressão para agir e as solicitações de pagamento ou códigos de verificação.