Suposta exposição de dados de ChessHere.com

À primeira vista, plataformas de xadrez podem parecer sites de entretenimento de baixo risco. No entanto, a combinação de nome de usuário e senha em texto simples representa um risco grave para a segurança da conta, independentemente do tema da plataforma. Se você usou a mesma senha em contas de e-mail, jogos, redes sociais ou compras, invasores podem tentar usá-la também em outros sistemas. Portanto, o incidente do ChessHere.com não se limita à segurança das contas de xadrez.

Os tipos de dados verificáveis neste registro são nomes de usuário e senhas. A alegação de que as senhas estão em texto simples é especialmente importante. Uma senha em texto simples pode ser usada diretamente por um invasor, sem a necessidade de quebrar hashes, realizar ataques de dicionário ou fazer análises técnicas. Já o nome de usuário pode ser associado às identidades que a mesma pessoa usa em diferentes plataformas.

O endereço de e-mail não foi incluído como um tipo de dado verificado neste registro. Essa é uma limitação deliberada: foram usados apenas os campos recorrentes e sustentados por evidências sólidas, para não apresentar a você uma abrangência de dados incorreta. Se você usou no ChessHere.com o mesmo nome de usuário de outros fóruns de jogos, redes sociais ou comunidades de xadrez, pode ser mais fácil estabelecer uma ligação entre as contas.

Em sistemas modernos, as senhas devem ser armazenadas como valores de hash irreversíveis. Quando são usados algoritmos de hash robustos e valores de salt exclusivos, um invasor precisa de tempo para descobrir a senha real, mesmo que o banco de dados vaze. O armazenamento em texto simples elimina completamente essa proteção. Qualquer pessoa que veja os dados pode ler e copiar a senha, além de tentar usá-la em outros serviços.

Por esse motivo, o nível de gravidade Alta foi selecionado no registro do ChessHere.com. Embora o conjunto de tipos de dados afetados pareça pequeno, a forma como a senha foi armazenada aumenta o risco. Em particular, usuários podem ter reutilizado o mesmo nome de usuário e a mesma senha durante anos em sites antigos de jogos, fóruns e comunidades. Isso faz com que um vazamento de 2017 continue útil para ataques até hoje.

Antes da inclusão de um novo registro, foi feita uma verificação de duplicidade nos registros existentes usando ChessHere, chesshere.com e variantes relacionadas do nome. Como não havia um registro de vazamento anterior com o mesmo domínio ou título, este registro foi considerado único. A inclusão do incidente foi considerada pertinente porque o mesmo domínio aparece em fontes abertas junto com dezembro de 2017, aproximadamente meio milhão de registros e os tipos de dados nomes de usuário e senhas em texto simples.

No entanto, não foi identificado um comunicado oficial abrangente da operadora da plataforma que confirmasse todos os detalhes. Por isso, o status de verificação foi mantido como limitado. Essa escolha busca refletir com precisão o grau de certeza para você. O registro foi complementado com tipos de dados verificados e informações consistentes de fontes abertas; por outro lado, informações não verificadas sobre e-mail, pagamentos, mensagens ou perfis não foram incluídas na descrição.

Se você também usou a senha da conta do ChessHere.com em outros lugares, deve primeiro alterar as senhas dessas contas. A conta de e-mail é a prioridade mais crítica, pois, se ela for comprometida, o invasor poderá usar os processos de redefinição de senha de outras contas. Depois, você deve verificar serviços de jogos, redes sociais, fóruns, sites de compras e contas de pagamento.

A exposição do nome de usuário, quando considerada junto com a senha, cria um risco adicional. Um invasor pode procurar o mesmo nome de usuário em diferentes plataformas, encontrar outras contas usadas pelo alvo e tentar a mesma senha ou variações semelhantes. Esse risco de associação é especialmente importante porque o uso contínuo do mesmo nome de usuário é comum em comunidades de xadrez, jogos e fóruns.

• Você deve alterar a senha usada na conta do ChessHere.com também em todos os outros serviços.
• Você também deve evitar variações do mesmo padrão de senha.
• Você deve ativar a verificação em duas etapas na conta de e-mail.
• Você deve gerar uma senha exclusiva para cada serviço com um gerenciador de senhas.
• Você deve revisar contas antigas de fóruns e jogos criadas com o mesmo nome de usuário.
• Você deve verificar as sessões ativas e os aplicativos conectados.
• Você deve acompanhar com atenção os alertas de login suspeito por algum tempo.

Em comunidades de jogos e hobbies, é comum que usuários mantenham o mesmo apelido durante anos. Esse apelido pode estar associado a redes sociais, fóruns, plataformas de streaming, clientes de jogos ou à parte inicial de endereços de e-mail. Quando um nome de usuário e uma senha aparecem juntos em um conjunto de dados vazado, um invasor tenta acessar não apenas aquela plataforma, mas também outras partes da rede de identidades digitais do usuário.

Portanto, o nome de usuário não deve ser subestimado. Mesmo sem um e-mail, um invasor pode encontrar correspondências para esse nome em mecanismos de busca, fóruns, perfis de jogos e redes sociais. Se a mesma senha for usada em outros lugares, o nome de usuário passa a servir diretamente como chave para tentativas de acesso. Você também deve avaliar a segurança das senhas de contas criadas com seus apelidos antigos.

O registro do ChessHere.com mostra que plataformas de comunidades pequenas ou médias devem adotar os mesmos padrões de segurança de senhas que as grandes plataformas. Senhas nunca devem ser armazenadas em texto simples. Algoritmos de hash robustos para senhas, valores de salt exclusivos, gerenciamento seguro de sessões, proteção do painel administrativo e atualizações regulares de segurança são requisitos básicos.

Componentes de software antigos, plugins de fóruns, painéis administrativos e arquivos de backup são pontos de risco frequentes em plataformas de comunidades. Backups de bancos de dados não devem ser mantidos no diretório raiz da web, contas administrativas devem usar autenticação multifator, os fluxos de redefinição de senha devem ser registrados em logs e exportações em massa suspeitas devem ser monitoradas. Em caso de suspeita de vazamento, a redefinição das senhas dos usuários deve ser obrigatória.

Um vazamento de dezembro de 2017 pode parecer antigo hoje; no entanto, os hábitos de uso de senhas e nomes de usuário persistem por muito tempo. Muitas pessoas criam uma nova senha acrescentando um número, um ponto de exclamação ou um ano à senha antiga. Invasores testam esses padrões com ferramentas automatizadas. Portanto, uma senha antiga em texto simples ainda pode ser útil para atacar contas atuais.

Além disso, conjuntos de dados antigos podem ser combinados com novos. Outro vazamento pode conter um e-mail associado ao mesmo nome de usuário; uma fonte diferente, um número de telefone; e outra plataforma, um link de perfil. A combinação dessas informações permite que o invasor crie um perfil mais completo do alvo. Você deve considerar seus rastros digitais como um todo, não apenas vazamentos isolados.

O vazamento de dados do ChessHere.com é um registro de incidente relatado como associado à plataforma de xadrez online e que teria afetado aproximadamente 526.686 registros de usuários. Os principais tipos de dados relatados como expostos são nomes de usuário e senhas em texto simples. Essa combinação aumenta o risco de acesso não autorizado a outras contas de quem reutiliza senhas. Dados de e-mail ou pagamento não foram incluídos entre os tipos de dados porque não foram verificados neste registro.

O registro não foi marcado como verificado porque não há confirmação oficial de fonte primária. Ainda assim, ele foi incluído para alertar os usuários, pois o domínio, a data, a quantidade de registros e os tipos de dados são consistentes com os registros disponíveis publicamente. Se você usa o ChessHere.com, deve alterar suas senhas antigas em todos os serviços, revisar as contas associadas ao seu nome de usuário e ativar a autenticação de dois fatores sempre que possível.

O primeiro passo é lembrar a senha usada no ChessHere.com e listar todas as contas que usam a mesma senha ou uma semelhante. O segundo passo é verificar as configurações de segurança da conta de e-mail. O terceiro passo é passar a usar um gerenciador de senhas e gerar uma senha exclusiva para cada conta. O quarto passo é encerrar as sessões em contas antigas de fóruns e jogos.

Agora, você deve encerrar as contas que não usa mais ou trocar suas senhas por senhas aleatórias e exclusivas. Contas antigas esquecidas podem se tornar um elo fraco explorado por um invasor. Especialmente quando a mesma combinação de nome de usuário e senha foi usada, até contas abandonadas podem servir como caminho para outras contas. Portanto, plataformas antigas de hobbies também devem fazer parte do inventário de segurança.

Senhas usadas em plataformas de hobbies como o ChessHere.com costumam pertencer a contas que você considera de baixo risco. O problema é que essa mesma senha de baixo risco também é testada em serviços mais críticos. Invasores não analisam registros antigos de xadrez, jogos e fóruns de forma isolada: eles os combinam com endereços de e-mail atuais, nomes de usuário de redes sociais e outros conjuntos de dados. Portanto, mesmo que você não use mais a conta antiga, deve verificar em quais outros lugares a senha está sendo reutilizada.

O nome de usuário também é uma pista importante nessa cadeia. Pode haver perfis de transmissão, jogos, fóruns ou redes sociais criados com o mesmo apelido. As informações disponíveis publicamente nesses perfis permitem que o invasor prepare mensagens mais convincentes. Além de alterar a senha, reduzir informações desnecessárias nos perfis de contas antigas criadas com o mesmo nome de usuário e encerrar contas sem uso oferece uma proteção mais sólida.

Neste registro, alguns usuários podem considerar o risco baixo porque o endereço de e-mail não foi verificado. No entanto, encontrar o nome de usuário junto com a senha em texto simples pode fornecer material suficiente para um invasor tentar obter acesso. Especialmente se o nome de usuário for igual à parte inicial do endereço de e-mail ou for usado da mesma forma em outras plataformas, descobrir o endereço de e-mail pode não ser difícil. Portanto, a avaliação de risco deve considerar não apenas a quantidade de tipos de dados, mas também o fato de a senha estar em texto simples e a possibilidade de reutilização do nome de usuário.