Suposta exposição de dados de Cit0day

As categorias de dados verificadas são endereços de e-mail e senhas. O endereço de e-mail é o principal identificador usado por invasores para encontrar uma pessoa em diferentes plataformas e associar a mesma identidade a outras contas. Já os dados de senhas aumentam diretamente o risco. Mesmo senhas armazenadas na forma de hash podem ser quebradas ao longo do tempo devido a algoritmos fracos, armazenamento sem salt ou escolha de senhas fáceis de adivinhar. Senhas em texto simples podem ser usadas diretamente por invasores. Por esse motivo, Cit0day é uma fonte de dados bastante conveniente para tentativas de tomada de controle de contas baseadas na reutilização de senhas.

O perigo desse vazamento vai além de uma conta antiga em um único serviço. Se uma pessoa reutilizou a mesma combinação de e-mail e senha em fóruns, jogos, sites de compras, redes sociais, contas de e-mail ou de trabalho, o risco aumenta em uma reação em cadeia. Invasores podem testar a mesma combinação em diferentes serviços, alterar as opções de recuperação da conta após tentativas de login bem-sucedidas ou atacar contas conectadas. Além disso, o endereço de e-mail, por si só, pode ser usado para enviar mensagens de phishing. A presença de dados de senhas exige que os usuários revisem não apenas a conta antiga em questão, mas todas as contas vinculadas ao mesmo histórico de senhas.

O escopo verificado está associado a 226.883.414 endereços de e-mail únicos. Foi informado que o conjunto de dados é composto por mais de 23.000 arquivos e registros de sites, sendo que alguns arquivos contêm e-mails e hashes de senhas, outros contêm senhas quebradas e outros contêm pares de e-mail e senha em texto simples. Neste incidente, as categorias de dados se limitam a endereços de e-mail e senhas. Campos adicionais, como nome completo, número de telefone, endereço físico, informações de pagamento, data de nascimento ou documento de identificação oficial, não foram verificados neste contexto. Portanto, apenas os campos verificados estão incluídos na descrição.

O registro deve permanecer na categoria de não verificado. Isso não significa que o conjunto de dados seja inteiramente falso, mas que não há uma fonte única e clara, uma única notificação institucional ou uma verificação definitiva de cada arquivo que compõe a coleção. As análises mostram que há muitos indícios válidos de contas reais nos arquivos; ainda assim, não seria correto atribuir o mesmo nível de confiança a todos os sites e arquivos. Essa distinção é importante para a segurança dos usuários. Se o resultado for positivo, o risco deve ser levado a sério, mas não se deve afirmar com certeza, para cada usuário, qual site específico vazou os dados.

O grupo de maior risco é formado por usuários que reutilizam a mesma senha em vários serviços. Coleções como Cit0day permitem que invasores testem pares de e-mail e senha em massa. Contas antigas de fóruns, pequenos sites de comércio eletrônico, comunidades de jogos, plataformas voltadas a hobbies e cadastros em sites que já não são usados podem ser encontrados com frequência nesses arquivos. Se uma pessoa usou uma senha fraca em uma conta antiga e escolheu a mesma senha para um serviço mais importante, um cadastro aparentemente pouco relevante pode colocar contas essenciais em risco.

O segundo grupo de risco é formado por pessoas que ainda usam ativamente seu endereço de e-mail antigo ou que criaram muitas contas com o mesmo endereço. Quando um endereço de e-mail permanece o mesmo por anos, dados de diferentes vazamentos podem ser associados a um único perfil de usuário. O risco é ainda maior para quem usa o endereço de e-mail corporativo em fóruns pessoais ou pequenos sites; invasores podem usar dados pessoais para preparar mensagens direcionadas à conta de trabalho. Usuários que se esqueceram de suas contas antigas também não estão livres de risco, pois o histórico de senhas que permanece nessas contas pode ser usado em novos ataques.

O primeiro passo é avaliar as senhas usadas anteriormente com o endereço de e-mail que aparece no resultado de Cit0day. Se a mesma senha, ou uma senha semelhante, ainda for usada em alguma conta ativa, você deve definir imediatamente uma senha forte e exclusiva para essa conta. Priorize contas de e-mail, contas financeiras, perfis em redes sociais, armazenamento em nuvem, sistemas de trabalho e contas principais que tenham acesso a links de redefinição de senha. O uso de um gerenciador de senhas facilita a criação de senhas longas e exclusivas para cada serviço. Ative a autenticação multifator em todas as contas essenciais que ofereçam esse recurso.

O segundo passo é examinar as configurações de segurança da conta de e-mail. Verifique sessões desconhecidas, regras de encaminhamento, filtros automáticos, endereços de recuperação e dispositivos conectados. Invasores podem adicionar regras de encaminhamento discretas às contas que conseguiram acessar para manter o acesso persistente. Encerre contas antigas e sem uso ou, pelo menos, defina senhas exclusivas para elas. Como talvez não seja possível saber exatamente de qual site veio o vazamento, não limite a proteção a uma única conta; faça uma revisão de todas as contas que usaram o mesmo e-mail e a mesma senha no passado.

Coleções como Cit0day mostram claramente os efeitos de longo prazo da reutilização de senhas. Se uma pessoa usou a mesma senha em um site que considerava pouco importante anos atrás, essa informação pode ser testada mais tarde em contas muito mais importantes. A base da proteção de longo prazo é o uso de senhas exclusivas, de um gerenciador de senhas e da autenticação multifator. Quando cada serviço tem uma senha diferente, um vazamento em um site não se estende a outras contas. A conta de e-mail também deve ser protegida, pois a caixa de entrada geralmente concentra os meios de recuperação das demais contas.

Os usuários devem revisar periodicamente a lista de suas contas antigas. Cadastros sem uso devem ser encerrados, as senhas das contas necessárias devem ser atualizadas e o risco de associação entre perfis em diferentes plataformas pelo uso do mesmo nome de usuário deve ser reduzido. As organizações, por sua vez, podem realizar campanhas de conscientização para limitar o uso de endereços de e-mail corporativos pelos funcionários em cadastros pessoais na web. A segurança das senhas não se resume à escolha de uma senha forte; nunca reutilizar a mesma senha e manter as contas antigas sob controle é igualmente importante.

Consultar Cit0day no LeakData ajuda você a entender se seu endereço de e-mail aparece nessa grande coleção de credenciais. Se o resultado for positivo, primeiro liste todas as contas importantes que você usa com o mesmo endereço de e-mail. Depois, identifique as contas que usam senhas iguais ou semelhantes e defina uma senha exclusiva para cada uma. Ative a autenticação multifator na sua conta de e-mail, revise o histórico de login e remova os dispositivos que você não reconhece. Certifique-se de que o e-mail e o telefone de recuperação das contas essenciais pertençam a você.

Para a maioria dos usuários, talvez não seja possível saber com certeza qual foi o único site de origem desse vazamento. Por isso, a medida mais adequada é revisar e proteger todas as contas relacionadas ao seu histórico de senhas. Usar um gerenciador de senhas, identificar senhas antigas e fracas, definir senhas distintas para contas que usam a mesma senha e encerrar cadastros sem uso são medidas que oferecem proteção duradoura. Não trate o resultado de Cit0day como um incidente antigo; pares de e-mail e senha podem ser usados em tentativas automatizadas de acesso a contas mesmo anos depois. Se suas contas tiverem senhas exclusivas e autenticação multifator, o impacto dessas coleções será significativamente reduzido.