Listas de credenciais publicadas no Telegram

As listas de credenciais publicadas no Telegram incluem categorias de dados verificadas, como endereços de e-mail, nomes de usuário e senhas. Quando esses três campos são combinados, o risco de tomada de controle das contas se torna elevado. O endereço de e-mail ou o nome de usuário indica qual credencial de identificação o invasor tentará usar; a senha, se usada da mesma forma ou de forma semelhante em outros serviços, fornece uma base direta para tentativas de login. Por isso, o resultado não deve ser tratado como um simples alerta de spam, mas como um aviso de alta prioridade sobre a segurança das senhas.

Este conjunto de dados não inclui nomes, números de telefone, endereços físicos, cartões de pagamento ou números de documentos oficiais de identificação entre as categorias de dados verificadas. O principal risco está nas informações de autenticação. Como algumas linhas podem conter informações sobre o site em que a senha foi inserida, os invasores podem identificar com mais facilidade em qual serviço tentar fazer login. No entanto, a tela do usuário nem sempre mostra qual senha corresponde a qual site. Diante dessa incerteza, todas as senhas reutilizadas devem ser consideradas arriscadas.

As fontes das listas de credenciais costumam incluir vazamentos antigos, listas reorganizadas, senhas fracas obtidas por adivinhação ou registros de programas maliciosos que roubam informações. Assim, o mesmo endereço de e-mail pode aparecer com várias senhas usadas no passado em diferentes serviços. Mesmo que o usuário use uma senha forte hoje, o risco permanece se uma senha antiga ainda for válida em outras contas. Para as organizações, a presença de e-mails de funcionários nessas listas pode aumentar os ataques direcionados de adivinhação de credenciais e o volume de phishing.

O escopo verificado abrange a coleta datada de 28 de maio de 2024, a inclusão do registro em 3 de junho de 2024, a última atualização em 11 de junho de 2024 e 361.468.099 contas únicas. As categorias de dados são endereços de e-mail, senhas e nomes de usuário. O incidente não indica que os sistemas do serviço Telegram tenham sido invadidos. Uma descrição mais precisa é a classificação de listas de credenciais compartilhadas em canais maliciosos do Telegram, coletadas e verificadas como um conjunto de dados.

Essa distinção é importante para a segurança do usuário. Uma correspondência no resultado não significa que a conta do usuário no Telegram tenha sido comprometida. O endereço de e-mail, o nome de usuário ou a senha do usuário pode ter aparecido em listas de diferentes fontes, e essas listas podem ter sido distribuídas em canais do Telegram. Por isso, as medidas devem abranger todas as contas importantes nas quais o mesmo e-mail e a mesma senha possam ter sido usados, em vez de se concentrar em uma conta específica de um serviço de mensagens.

O número de linhas de dados brutos não deve ser confundido com o número de contas únicas. Em aproximadamente 2 bilhões de linhas, o mesmo endereço de e-mail pode aparecer novamente com senhas diferentes ou em dados de fontes distintas. O número de contas afetadas exibido ao usuário é o valor verificado com base em endereços de e-mail únicos. Campos não verificados não devem ser incluídos nas categorias de dados, o incidente não deve ser apresentado como um vazamento de uma única marca e o escopo deve se limitar à coleção de credenciais.

O grupo de maior risco é formado por pessoas que usam a mesma senha em vários serviços. Se uma senha foi usada em um fórum antigo, uma conta de jogo, um site de compras ou uma conta de teste e depois reutilizada em contas de e-mail, redes sociais, serviços financeiros ou trabalho, esse conjunto de dados pode fornecer aos invasores uma lista pronta para tentativas de acesso. Mesmo que a senha seja longa, o risco permanece se ela não for exclusiva. Por isso, o uso de uma senha exclusiva deve ser obrigatório em todas as contas críticas.

O segundo grupo de risco é formado por funcionários que criam contas em serviços pessoais com seus endereços de e-mail corporativos. Se o endereço corporativo e a senha de um funcionário aparecerem em uma lista de credenciais, isso não comprova que os sistemas da empresa tenham sido comprometidos; no entanto, oferece aos invasores a oportunidade de testar credenciais no domínio da empresa. As contas de administradores e das equipes de finanças, recursos humanos, suporte e tecnologia devem ter prioridade na avaliação. As organizações devem monitorar de perto as tentativas de login malsucedidas, os locais incomuns e as sessões em novos dispositivos.

O terceiro grupo de risco é formado por usuários cujos dispositivos podem ter executado anteriormente programas maliciosos que roubam informações. Se houver uma fonte desse tipo, apenas alterar a senha pode não ser suficiente. Senhas armazenadas no navegador, cookies de sessão e registros de formulários também podem estar em risco. Os usuários devem verificar seus dispositivos com um software de segurança confiável, remover extensões de navegador desconhecidas, encerrar sessões abertas e usar uma chave de segurança ou autenticação de dois fatores robusta nas contas críticas.

Usuários cuja consulta indique uma correspondência devem começar alterando as senhas de suas contas de e-mail e, em seguida, alterar as senhas de todas as contas críticas. Senhas idênticas ou semelhantes devem ser totalmente evitadas, e cada serviço deve ter uma senha exclusiva e longa. O uso de um gerenciador de senhas torna esse processo confiável. Acrescentar um número ao final de uma senha antiga ou fazer uma pequena alteração em uma letra não é suficiente; os invasores podem testar essas variações com facilidade.

O segundo passo é ativar a autenticação multifator. A autenticação por aplicativo ou uma chave física de segurança oferece uma proteção maior do que apenas um código por SMS. Nas configurações da conta, devem ser verificados as sessões abertas, os dispositivos não reconhecidos, os e-mails de recuperação adicionados recentemente, as regras de encaminhamento e as atividades recentes de login. Sessões suspeitas devem ser encerradas, as informações de recuperação devem ser atualizadas e as notificações de segurança devem permanecer ativadas.

O terceiro passo é verificar a segurança dos dispositivos. Diante da possibilidade de programas maliciosos que roubam informações, os usuários devem atualizar seus computadores e celulares, remover aplicativos desconhecidos, revisar as extensões do navegador e executar uma verificação com uma ferramenta de segurança confiável. Se uma conta de trabalho, uma conta de serviços financeiros ou a conta principal de e-mail tiver sido usada no mesmo dispositivo, essas contas também devem passar por encerramento de sessões e controle de acesso.

No longo prazo, a defesa mais eficaz é adotar senhas exclusivas e autenticação de dois fatores robusta. Quando cada serviço tem uma senha diferente, as credenciais encontradas em uma lista não podem ser usadas para acessar outras contas. Os usuários devem gerar senhas aleatórias com um gerenciador de senhas, fechar contas antigas, encerrar sessões em serviços que não usam mais e criar o hábito de verificar regularmente a ocorrência de vazamentos.

Uma estratégia permanente para as instituições é monitorar a presença de e-mails de funcionários em coleções externas de credenciais e priorizar os resultados conforme o nível de risco. Nas contas com privilégios elevados, devem ser usados em conjunto chaves de segurança, autenticação multifator obrigatória, controles de login baseados em risco e regras de bloqueio de senhas vazadas. As solicitações de redefinição de senha nos processos da central de suporte devem ser confirmadas por meio de autenticação robusta.

Este incidente também mostra que os cuidados com os dispositivos são tão importantes quanto a segurança das senhas. Os usuários não devem adiar as atualizações do sistema operacional e do navegador, devem evitar softwares piratas e plugins desconhecidos e usar sua conta principal de e-mail apenas em dispositivos confiáveis. Como programas maliciosos que roubam informações podem atacar não só as senhas, mas também as sessões ativas, o encerramento regular de sessões e o acompanhamento das notificações de segurança fazem parte da defesa de longo prazo.

Se o seu endereço de e-mail aparecer no vazamento de dados de listas de credenciais publicadas no Telegram, não interprete isso como um vazamento direto de um serviço específico. A interpretação mais precisa é que seu endereço de e-mail, nome de usuário ou senha pode ter sido incluído em uma grande coleção de credenciais compartilhada por canais maliciosos. O objetivo principal é descobrir se a mesma senha é usada em outras contas e eliminar rapidamente a reutilização de senhas.

Se o resultado da verificação indicar uma correspondência, as contas de e-mail, as contas de serviços financeiros, as redes sociais, as ferramentas de trabalho e os serviços em nuvem devem ser revisados com prioridade. Senhas exclusivas, autenticação multifator, controle de sessões e medidas de segurança dos dispositivos devem ser aplicados a todas as contas críticas. Para endereços corporativos, o monitoramento por domínio facilita a priorização das contas de funcionários em risco. Verificações regulares ajudam a detectar cedo o risco decorrente da reutilização de listas antigas de credenciais em novos ataques de teste de acesso a contas.