Vazamento de dados de Condo.com

Os tipos de dados verificados são endereços de e-mail, nomes, números de telefone e endereços físicos. Um endereço de e-mail pode ser usado para estabelecer vínculos com outras contas online do usuário. Nomes e números de telefone podem ser úteis para falsas ligações de atendimento ao cliente, mensagens de verificação de anúncios, abordagens de pessoas que se passam por corretores de imóveis ou tentativas de desviar pagamentos. Nos registros que contêm um endereço físico, é possível obter informações mais diretas sobre o local onde o usuário mora ou pelo qual tem interesse.

Senhas não fazem parte dos tipos de dados verificados neste registro; por isso, o risco se concentra em phishing, golpes por telefone e engenharia social com temática imobiliária, e não nas senhas das contas. A combinação de nome, e-mail e telefone oferece meios suficientes para entrar em contato com uma pessoa. Se um invasor presumir que o usuário está procurando uma casa ou um apartamento, ou tem interesse em alugar ou comprar, poderá personalizar as mensagens de acordo com esse contexto. Essa personalização pode ser mais persuasiva do que publicidade genérica ou mensagens de phishing enviadas em massa.

Este registro abrange 1.481.555 contas afetadas, e a data registrada para o incidente é 1 de junho de 2019. Entende-se que os dados voltaram a circular posteriormente como parte de uma compilação maior de vazamentos. Isso significa que, embora o incidente seja antigo, as informações de e-mail e telefone podem ser reutilizadas em listas atuais empregadas em fraudes. A abrangência do registro deve ser avaliada pelo número de contas únicas; não se deve presumir que cada linha represente um perfil de usuário atual, ativo ou completo.

Os campos verificados são endereço de e-mail, nome, número de telefone e, em poucos registros, endereço físico. Neste registro, senha, cartão de pagamento, conta bancária, número de seguridade social, data de nascimento, documento de identidade e documento de transação imobiliária não são tipos de dados verificados. Além disso, o campo de endereço físico não aparece em todos os registros, mas apenas em uma pequena parcela. Essa distinção é importante: ao explicar o risco real ao usuário, é necessário não subestimar o valor dos dados de contato nem apresentar tipos de dados não verificados como se estivessem presentes.

As pessoas com maior risco são aquelas que usaram seu nome verdadeiro, endereço de e-mail principal e número de telefone ativo no Condo.com. Usuários que estão procurando imóveis geralmente lidam com decisões de alto valor financeiro, como mudar de residência, investir, alugar ou comprar. Por isso, invasores podem direcionar suas abordagens a esses usuários com temas como consultorias falsas, anúncios falsos, desvio de depósitos, pré-aprovação de crédito, taxas de avaliação, avisos de taxas de manutenção ou serviços de mudança.

Para usuários cujos registros também contêm um endereço físico, o risco se torna mais personalizado. Se o endereço estiver correto, o invasor poderá tentar dar credibilidade à mensagem usando referências ao bairro, ao prédio, a entregas, à manutenção, a assinaturas ou a comunicados da administração. Usuários com um número de telefone podem ser alvo direto de mensagens de texto e ligações. Para quem se cadastrou com um e-mail profissional, também há risco de phishing corporativo, pois mensagens sobre imóveis e gestão de instalações podem parecer plausíveis no ambiente de trabalho.

Se você encontrar uma correspondência neste registro, deve ter cuidado principalmente com mensagens sobre imóveis recebidas por e-mail ou telefone. Ofertas inesperadas de anúncios, pedidos de depósito, instruções para pagamentos rápidos, links para solicitações de empréstimo, arquivos de contratos de aluguel ou mensagens de verificação de conta não devem ser considerados confiáveis de imediato. Antes de realizar uma transação imobiliária, verifique de forma independente a identidade da outra parte, a origem do anúncio, os dados de pagamento e o canal de comunicação.

Ative a autenticação multifator na sua conta de e-mail e verifique se há sessões suspeitas. Mesmo que não haja um campo de senha verificado neste registro, a conta de e-mail pode ser um alvo central de mensagens fraudulentas. Códigos de uso único enviados ao número de telefone, solicitações de documentos de identidade, instruções para pagamento de depósitos ou pedidos de acesso remoto não devem ser compartilhados. Se seu endereço físico pode ter vazado, considere suspeitas também as mensagens enviadas sob o pretexto de verificação de endereço ou entrega.

O incidente do Condo.com mostra que informações de contato podem ter implicações sérias para a segurança e a privacidade, mesmo quando não incluem uma senha. Sempre que possível, use endereços de e-mail separados ou soluções de mascaramento de e-mail para serviços de imóveis, anúncios, assinaturas e compras. Não compartilhe seu número de telefone se isso não for obrigatório; quando for, esteja ciente da possibilidade de receber mensagens de marketing, golpes e phishing no futuro. Compartilhe seu endereço físico apenas em transações nas quais ele seja realmente necessário.

No longo prazo, revise contas antigas em serviços imobiliários e perfis de anúncios. Encerre contas que não usa, reduza as informações públicas dos seus perfis e acompanhe em quais serviços você se cadastrou com os mesmos dados de contato. Como transações imobiliárias envolvem valores elevados, nunca realize etapas de pagamento apenas com base em instruções recebidas por e-mail ou mensagem de texto. Verifique por canais separados a licença da outra parte, a titularidade do anúncio, os dados bancários e os detalhes do contrato.

A presença de uma correspondência neste registro indica que o endereço de e-mail em questão está entre os registros associados ao vazamento do Condo.com. A correspondência mostra que o escopo verificado se limita a informações de contato e identificação; senhas ou informações de pagamento não estão entre os tipos de dados verificados deste registro. No entanto, a combinação de e-mail, nome e número de telefone pode fornecer dados suficientes para criar mensagens que pareçam personalizadas para o usuário. Por isso, é preciso ter cautela mesmo que o registro seja antigo.

Primeiro, proteja sua conta de e-mail, verifique por um canal separado as mensagens inesperadas sobre imóveis e mudanças e recuse solicitações de pagamento ou de informações de identificação recebidas por telefone. Se você acredita que seu endereço físico pode ser conhecido, examine com atenção mensagens sobre entregas, manutenção, administração do prédio ou assinaturas. Em transações imobiliárias, verifique anúncios, pessoas, empresas e dados de conta por meio de fontes independentes antes de transferir qualquer quantia.