Vazamento de dados de ClickASnap

No incidente da ClickASnap, endereços de e-mail, nomes de usuário e hashes de senhas representam os riscos mais básicos para a segurança da conta. A combinação de e-mail e nome de usuário forma um par de identificadores que atacantes podem usar para localizar contas, solicitar redefinições de senha e realizar tentativas direcionadas de phishing. Mesmo com as senhas no formato de hash SHA-512, se o usuário tiver escolhido uma senha curta, previsível ou reutilizada de outro serviço, esse hash poderá ser quebrado com o tempo. Por isso, a reutilização de senhas é um dos riscos práticos mais significativos do incidente.

Informações como nome, endereço físico e valor pago, associadas a registros de assinaturas pagas, criam uma camada diferente de risco. Esses dados podem revelar a qual criador de conteúdo o usuário paga na plataforma ou qual assinatura possui. Essas informações podem servir de base para notificações falsas sobre pagamentos, renovações de assinatura, confirmação de ganhos, formulários fiscais, pagamentos por vendas de fotos ou verificação de conta. Os perfis de redes sociais também podem permitir que a identidade do usuário como fotógrafo seja associada aos seus outros perfis on-line. Isso representa um risco à privacidade, especialmente para criadores de conteúdo que atuam sob pseudônimo.

O número de contas afetadas verificadas neste registro é 3.262.980. A data registrada para o incidente é 24 de setembro de 2022. Os campos verificados são endereços de e-mail, nomes de usuário, hashes de senhas, nomes, endereços físicos, registros de compras/assinaturas e perfis de redes sociais. É importante destacar que as informações de nome, endereço e valor pago podem estar limitadas aos registros de assinaturas pagas; não se deve presumir que esses campos estejam presentes para todos os usuários. Uma conta de usuário comum não deve ser considerada dentro do mesmo escopo de um registro de assinatura paga.

Este registro não contém categorias de dados verificadas referentes a conteúdo fotográfico, metadados de fotos, números de cartões de pagamento, informações bancárias, documentos oficiais de identificação ou saldos de ganhos diretamente na plataforma. Mesmo que campos adicionais sejam mencionados em algumas descrições mais amplas, a lista de categorias de dados deste registro deve se limitar aos campos que podem ser comprovados. Em vez de apresentar ao usuário uma afirmação abrangente, como 'informações financeiras foram vazadas', uma explicação mais precisa seria 'o valor pago estava incluído nos registros de assinaturas ou compras'.

Os usuários com maior risco são aqueles que também usam a senha da conta ClickASnap em outras plataformas. As contas associadas a comunidades de fotografia, as contas de redes sociais e de e-mail e as notificações de pagamento devem ser verificadas primeiro. Pessoas que reutilizam o nome de usuário em vários sites de fotografia ou perfis de redes sociais estão mais expostas ao risco de associação entre perfis. Quando o nome de usuário aparece junto com informações de perfis de redes sociais, um atacante pode chegar à mesma pessoa por diferentes plataformas.

Usuários que utilizam assinaturas pagas ou atuam no modelo de criadores de conteúdo também estão mais vulneráveis a ataques com falsas notificações de pagamento, ganhos, renovação de assinatura e questões fiscais. Para pessoas cujo endereço físico consta no cadastro, mensagens de verificação de endereço, envio, fatura ou aviso de assinatura podem parecer mais convincentes. O risco à privacidade também é relevante para fotógrafos profissionais ou semiprofissionais, pois a presença de nome real, endereço e perfil de rede social no mesmo cadastro pode aproximar a identidade criativa on-line das informações da vida real.

Você deve alterar a senha usada na conta ClickASnap. Se usou a mesma senha ou uma senha semelhante em outras contas, também deve alterar as senhas dessas contas, usando senhas fortes e diferentes para cada uma. Priorize contas de e-mail, perfis de redes sociais, sites de compartilhamento de fotos, notificações de pagamento e serviços de armazenamento em nuvem. O uso de um gerenciador de senhas facilita a criação de uma senha exclusiva para cada serviço. O uso de hashes SHA-512 não torna segura a reutilização de uma senha fraca.

Você deve verificar os aplicativos conectados e as sessões nas suas contas de redes sociais. Remova conexões desconhecidas e ative a autenticação multifator. Examine com cuidado os links em mensagens relacionadas à ClickASnap, vendas de fotos, assinaturas, pagamentos de ganhos, avisos de direitos autorais ou verificação de conta. Mesmo que o número do cartão de pagamento não seja um campo verificado neste registro, mensagens que solicitem dados de cartão ou informações bancárias devem ser consideradas de alto risco. Se precisar realizar uma transação, acesse a plataforma diretamente por um endereço conhecido.

A segurança da conta em plataformas para criadores de conteúdo não se resume à proteção da senha; a identidade real, o contexto dos pagamentos e os vínculos com perfis de redes sociais devem ser considerados em conjunto. No longo prazo, você deve usar senhas diferentes para contas de compartilhamento de fotos, vendas, redes sociais e e-mail. Se atua sob pseudônimo, compartilhe seu nome real e endereço apenas nos campos em que essas informações forem obrigatórias e não deixe dados pessoais desnecessários em perfis públicos. Verifique periodicamente os registros antigos de assinaturas e pagamentos.

Do ponto de vista das plataformas, assinaturas pagas e dados de criadores de conteúdo exigem camadas de proteção separadas. Quando dados de usuários, informações sobre valores pagos e vínculos com perfis de redes sociais são expostos no mesmo incidente, atacantes podem criar cenários mais convincentes. Por isso, permissões de acesso, controles de exportação, métodos de armazenamento de senhas e processos de notificação de incidentes devem ser testados regularmente. Você também deve avaliar suas contas em comunidades de fotografia não como contas de hobby de baixo risco, mas como contas associadas à sua marca pessoal e à sua fonte de renda.

Uma correspondência neste registro indica que o endereço de e-mail em questão está associado a uma das contas relacionadas ao vazamento de dados da ClickASnap. Uma correspondência não significa que o cartão de pagamento, a conta bancária ou os arquivos de fotos do usuário estejam incluídos no escopo verificado deste registro. O risco está relacionado a campos como e-mail, nome de usuário, hash de senha, perfil de rede social e, em alguns registros de assinaturas pagas, nome, endereço e valor pago. Você deve primeiro eliminar a reutilização de senhas e proteger sua conta de e-mail.

O próximo passo é revisar as conexões nos perfis de redes sociais e nas contas de criador de conteúdo. Encerre sessões desconhecidas, remova aplicativos vinculados e ative a autenticação multifator. Não dê andamento a solicitações em mensagens relacionadas a assinaturas ou pagamentos sem verificá-las pelo canal oficial. Se seu endereço físico pode ter sido incluído em registros de assinaturas pagas, tenha cuidado com mensagens falsas de fatura, entrega ou verificação de conta.