ClearVoice Surveys Vazamento de dados

O conjunto de dados verificado inclui 15.074.786 endereços de e-mail únicos, além de nomes, datas de nascimento, gêneros, endereços IP, números de telefone, endereços físicos e senhas em texto simples. Havia mais de 17 milhões de linhas nos arquivos de origem, mas, devido às entradas duplicadas, esse total não corresponde ao número de contas únicas; a contagem pública considera endereços de e-mail únicos. Cartões de pagamento, contas bancárias, números de documentos de identidade, mensagens privadas e respostas a pesquisas não são categorias de dados cuja exposição foi verificada e não devem ser apresentados como dados expostos. Senhas em texto simples aumentam o risco porque um invasor não precisa quebrar um hash antes de testar a mesma credencial em outros serviços. Um nome, uma data de nascimento, um número de telefone e um endereço vinculados a um e-mail também podem facilitar phishing direcionado, contatos de falsos atendentes de suporte, fraudes na recuperação de contas e tentativas de adivinhar respostas a perguntas de verificação baseadas em informações pessoais.

A data do vazamento, 23 de agosto de 2015, corresponde ao período do backup do banco de dados que foi exposto. O incidente se tornou público em abril de 2021, quando o backup antigo, que estava acessível publicamente, foi obtido e redistribuído em um fórum criminoso. A empresa declarou estar ciente do ocorrido e confirmou a autenticidade dos dados. As evidências indicam que os dados do backup da ClearVoice Surveys foram deixados acessíveis externamente, e não que houve comprometimento de um fornecedor sem relação com a empresa; por isso, a origem técnica é classificada como exposição por falha de configuração. Esta descrição se limita à exposição e à redistribuição confirmadas do backup. A data de inclusão em 2021 não é a data em que os registros foram criados; ao avaliar seu risco, você deve se concentrar nos dados de contato e nas senhas que usava por volta de 2015.

O risco é maior para quem reutilizou a senha de 2015 em contas de e-mail, redes sociais, compras ou trabalho. Mesmo que a senha original tenha sido alterada há anos, pequenas variações do mesmo padrão em outros serviços podem continuar vulneráveis a tentativas automatizadas de login. A combinação de endereço, número de telefone, data de nascimento e gênero pode ajudar um invasor a preparar mensagens adaptadas à idade, à localização ou à participação da pessoa em pesquisas. Uma correspondência, por si só, não comprova roubo de identidade, tomada de controle atual de uma conta ou exposição de informações financeiras. Uma avaliação adequada considera, em conjunto, a reutilização de senhas, as sessões recentes de e-mail, as mensagens inesperadas de redefinição de senha e as ligações suspeitas que usam dados pessoais. Não confie em alguém que sabe um endereço ou uma data de nascimento sem verificar sua identidade de forma independente.

Se você reutilizou a senha da sua conta da ClearVoice Surveys de 2015, ou uma variação muito semelhante, crie uma senha exclusiva em cada serviço afetado. Proteja primeiro a conta principal de e-mail, o gerenciador de senhas, os serviços financeiros e outras identidades que possam ser usadas para redefinir o acesso a contas. Revise as sessões ativas, encerre o acesso de dispositivos desconhecidos, confira o e-mail e o telefone de recuperação e ative uma chave de acesso ou a autenticação multifator quando essas opções estiverem disponíveis. Não considere seguras pequenas alterações de caracteres ou números em uma senha antiga. Evite acessar links em mensagens que usam pesquisas, recompensas, cartões-presente ou verificação de conta como pretexto; em vez disso, acesse o serviço pelo endereço que você já conhece. O fato de alguém que liga saber seu nome, endereço físico ou data de nascimento não comprova a identidade dessa pessoa. Se você notar uma redefinição de senha que não reconhece, uma regra de encaminhamento desconhecida ou um alerta de novo dispositivo, inicie imediatamente o processo oficial de recuperação do provedor de e-mail.

Um gerenciador de senhas que gera uma credencial aleatória diferente para cada serviço impede que uma senha antiga em texto simples cause uma sequência de tomadas de controle de contas. Passe a usar chaves de acesso nos serviços compatíveis e adote autenticação resistente a phishing na conta principal de e-mail. Mantenha os códigos de recuperação offline e revise regularmente os aplicativos conectados e as regras de encaminhamento de e-mail. Informações duradouras, como data de nascimento, número de telefone e endereço físico, nunca devem ser usadas como senhas ou respostas a perguntas de segurança. Organizações que monitoram os endereços de e-mail de funcionários devem avaliar, em conjunto, sessões suspeitas, reutilização de senhas e relatos de engenharia social, em vez de se basear apenas na quantidade de correspondências encontradas. Os provedores de serviços devem manter os backups fora dos diretórios raiz públicos da web, restringir o acesso segundo o princípio do menor privilégio, revisar continuamente as permissões de armazenamento e nunca armazenar senhas em texto simples. Backups antigos exigem a mesma proteção que os dados de produção e devem ser excluídos com segurança ao fim do período de retenção.

Consulte seu endereço de e-mail no campo de busca seguro para saber se ele aparece no registro da ClearVoice Surveys e, se houver uma correspondência, priorize a troca de senhas. Um resultado não significa que sua senha atual continua sendo a mesma nem que alguém certamente assumiu o controle de uma conta; ele informa que o endereço consta no backup verificado de 2015. Lembre-se dos padrões de senha que você usava naquela época, substitua a mesma senha ou senhas semelhantes em todos os serviços em que ainda estejam ativas e revise as sessões recentes da conta principal de e-mail. Trate mensagens inesperadas que contenham um número de telefone, endereço ou data de nascimento como possíveis fraudes personalizadas. A ausência de resultados não garante que o endereço não tenha aparecido em nenhum outro incidente. Monitoramento contínuo, senhas exclusivas e autenticação forte oferecem proteção eficaz caso esse conjunto antigo de dados seja reutilizado anos depois.