Suposta exposição de dados de Collection #1

Os dois principais tipos de dados verificados em Collection #1 são endereços de e-mail e senhas. O endereço de e-mail indica qual identidade o invasor usará para iniciar uma tentativa; a senha aumenta diretamente o risco de tomada de controle da conta caso a mesma senha, ou uma semelhante, tenha sido usada em outros serviços. Não foi confirmada a presença, na coleção, de campos de cartões de pagamento, documentos oficiais de identificação, informações de saúde, mensagens privadas ou endereços físicos. Essa limitação é importante para comunicar o risco real ao usuário sem causar pânico desnecessário.

Se as senhas circularem em texto simples ou em um formato que permita seu uso, a barreira técnica para o invasor diminui. Mesmo senhas antigas que já não são usadas representam um risco, pois muitas pessoas continuam usando suas senhas antigas com pequenas alterações. Pares de endereços de e-mail e senhas podem ser usados em tentativas automatizadas de login, verificações de criação de contas, fluxos de redefinição de senha e mensagens de phishing direcionadas. O risco é especialmente alto para quem repete a mesma senha durante anos.

A data considerada para o incidente é 7 de janeiro de 2019. O registro foi adicionado a listas confiáveis de verificação de vazamentos em 16 de janeiro de 2019 e, pouco depois, no mesmo dia, passou por uma alteração de metadados. O número de contas afetadas deve ser mantido como 772.904.991 endereços de e-mail únicos. Contagens mais altas de linhas brutas não devem ser interpretadas como o número de usuários, devido a combinações repetidas, linhas com erros e diferentes formatos de arquivo.

Collection #1 está na categoria não verificada. Essa classificação não significa que o conjunto de dados não contenha informações reais de usuários; significa que ele recebe uma classificação de confiabilidade limitada porque não é possível verificar todas as fontes individualmente com certeza. O registro não deve ser vinculado a um único domínio nem apresentado como uma violação atual dos sistemas de uma empresa específica. A principal informação a comunicar ao usuário é se o endereço de e-mail aparece em uma grande coleção de credenciais para ataques de credential stuffing que contém combinações de senhas.

O grupo de maior risco é formado por pessoas que usam o mesmo e-mail e a mesma senha em vários serviços. Senhas usadas em contas antigas de jogos, fóruns, lojas, redes sociais e serviços fora do trabalho podem ter sido reutilizadas posteriormente em contas críticas. Mesmo que você não se lembre da senha antiga, os invasores podem tentar variações que sigam um padrão semelhante.

Usuários corporativos também podem ser afetados. Funcionários que se cadastram em sites pessoais com o e-mail de trabalho podem colocar sua conta corporativa em risco se reutilizarem senhas antigas nos sistemas de trabalho. Endereços de pessoas que trabalham nas equipes de administração, finanças, recursos humanos e suporte são especialmente valiosos: além de uma tentativa de login bem-sucedida, os invasores também podem iniciar tentativas de engenharia social com faturas falsas, compartilhamento de arquivos, supostos alertas de segurança e imitações de comunicações internas.

Se a consulta indicar uma correspondência, você deve primeiro verificar sua conta de e-mail e todas as contas importantes nas quais possa ter usado o mesmo padrão de senha. Não mantenha a mesma senha, nem uma semelhante, em nenhum serviço e defina uma senha forte e exclusiva para cada conta. Usar um gerenciador de senhas torna essa etapa mais confiável. Como a conta de e-mail é o ponto central de recuperação das outras contas, ativar a autenticação de dois fatores nela deve ser uma prioridade.

Revise sessões antigas, dispositivos que você não reconhece, mensagens inesperadas de redefinição de senha e alertas de segurança. Nem sempre é possível saber de qual serviço vem a senha presente na coleção; por isso, alterar a senha de apenas um site não é suficiente. Use senhas exclusivas e segundos fatores de autenticação robustos em áreas críticas, como contas bancárias, e-mail, armazenamento em nuvem, redes sociais, compras e contas de trabalho.

Coleções de credenciais para ataques de credential stuffing são reorganizadas durante anos, voltam a circular com nomes diferentes e são combinadas com novas listas. Por isso, trocar a senha uma única vez não é suficiente para a proteção de longo prazo. Você deve abandonar completamente os padrões antigos de senha, usar senhas diferentes para cada serviço e dar preferência à verificação por aplicativo ou a chaves de segurança nas contas importantes.

As organizações devem tratar a presença de senhas de funcionários em listas de vazamentos como um sinal de risco à parte. Políticas que impeçam a reutilização de senhas, autenticação multifator obrigatória, alertas de tentativas de login suspeitas e verificações de sessões em localizações geográficas de risco reduzem o impacto dessas coleções. Os funcionários devem ser informados sobre como pares de endereços de e-mail e senhas são usados indevidamente, e a organização deve garantir que hábitos antigos de contas pessoais não sejam levados para as contas de trabalho.

Se o resultado da consulta for positivo, isso significa que o endereço de e-mail está incluído na base de dados de Collection #1. Esse resultado não significa que todas as senhas estejam atualizadas nem que uma conta de determinada empresa tenha sido comprometida naquele momento; ainda assim, exige uma verificação cuidadosa da reutilização de senhas. Você deve verificar se usa uma senha exclusiva e se a verificação em duas etapas está ativada em todas as contas importantes que utilizam o mesmo endereço de e-mail.

Se o resultado for negativo, isso indica que não foi encontrada uma correspondência nessa coleção; porém, o mesmo endereço pode aparecer em outros vazamentos ou em listas posteriores de credenciais para ataques de credential stuffing. Continue monitorando regularmente, usando senhas exclusivas, mantendo uma segurança forte na conta de e-mail e tendo cuidado com mensagens suspeitas. Grandes coleções como Collection #1 devem ser vistas como um alerta permanente de que senhas antigas nunca devem ser reutilizadas.