Vazamento de dados do Couchsurfing (2020)

A amostra analisada na época e as reportagens publicadas naquele período identificaram endereços de e-mail, nomes reais, IDs de usuário e configurações de conta nos dados oferecidos à venda. Os relatos afirmaram expressamente que o pacote à venda não continha senhas, portanto este registro não deve afirmar que hashes de senhas, senhas em texto simples ou credenciais que permitissem acesso direto às contas foram expostos. Também não há evidências confiáveis que comprovem a presença de números de telefone, cartões de pagamento, mensagens privadas, documentos de identidade, localizações precisas, históricos de viagens ou textos de apresentação dos perfis. Ainda assim, a combinação de um endereço de e-mail, um nome e um ID de usuário específico da plataforma pode viabilizar phishing direcionado, spam, mensagens fraudulentas de suporte e cruzamento com perfis encontrados em fontes públicas. O número de cerca de 17 milhões se refere aos registros de contas anunciados, e não a uma contagem totalmente verificada de pessoas distintas.

O conjunto de dados surgiu no início de julho de 2020, primeiro em canais privados de mensagens e depois em fóruns públicos de criminosos. O vendedor alegou que os registros haviam sido extraídos dos servidores do Couchsurfing e ofereceu o pacote por US$700. Uma pequena amostra fornecida a jornalistas especializados em segurança continha IDs de usuário, nomes reais, endereços de e-mail e campos de configuração de conta. A empresa informou que havia contratado uma empresa externa de cibersegurança para investigar e entrado em contato com as autoridades policiais. Nenhum relatório público final sobre o incidente estabeleceu a data exata do acesso ou confirmou um método de invasão. Um arquivo de backup armazenado em local indevido foi apontado como uma possível origem, mas isso era uma hipótese, não uma causa raiz demonstrada. Por isso, este registro adota o início de julho de 2020 como o período do incidente, sem afirmar uma data precisa. Os campos estruturados de contas do Couchsurfing diferenciam o material de uma coleção genérica de credenciais, mas a ausência de validação pública conclusiva exige que o registro mantenha essas ressalvas.

A maior exposição se aplica a pessoas que tinham uma conta no Couchsurfing antes de 2020 e usavam seu nome real com um endereço de e-mail principal. Saber qual é a plataforma, que a conta existe e qual é o ID de usuário permite que um invasor crie avisos convincentes sobre segurança, cobranças de assinatura, verificação de perfil, pedidos de hospedagem ou mensagens de viagem. A ausência de senhas no conjunto de dados relatado não elimina o risco de tomada de controle da conta: invasores ainda podem usar o e-mail para roubar um link de redefinição de senha, solicitar um código de uso único ou direcionar um membro a uma página de login fraudulenta. Se o mesmo e-mail aparecer em outros serviços, os registros podem facilitar o cruzamento de perfis e fraudes personalizadas. Dados antigos de identidade podem dar credibilidade a golpes anos depois. A presença no pacote à venda não prova que uma conta tenha sido acessada ou que mensagens privadas tenham sido lidas; essas conclusões exigem evidências separadas.

Se você ainda usa sua senha do Couchsurfing da época de 2020, ou se a reutilizou em outros serviços, substitua-a em todos eles por senhas longas e exclusivas como precaução, embora não tenha sido relatada a presença de senhas nesse pacote. Proteja primeiro sua conta de e-mail principal: verifique sessões desconhecidas, regras de encaminhamento e endereços de recuperação e, em seguida, ative a autenticação multifator. Confira as configurações de perfil, privacidade e comunicação no Couchsurfing e informe pelo canal oficial de suporte qualquer alteração que você não tenha feito. Não siga links em mensagens sobre renovação de assinatura, problemas de pagamento, aprovação de perfil, pedidos de hospedagem ou assistência emergencial durante viagens. Abra o site ou aplicativo por conta própria e confira o domínio do remetente. Não presuma que alguém que sabe seu nome ou ID de usuário seja um funcionário, anfitrião ou viajante legítimo. Nunca forneça uma senha, um código de uso único ou informações de pagamento em resposta a uma mensagem não solicitada; confirme o pedido por outro canal confiável.

Use um gerenciador de senhas para gerar uma credencial exclusiva para cada serviço, evitando que um futuro vazamento de credenciais de outra fonte afete várias contas. Mantenha a autenticação multifator ativada no e-mail e revise regularmente as opções de recuperação; mensagens relacionadas a viagens podem ser o início de uma tentativa de comprometer a caixa de e-mail associada. Reduza a visibilidade de detalhes desnecessários ligados ao seu nome real, links pessoais e textos do perfil quando estiverem acessíveis ao público. Encerre contas de serviços de viagem que você não usa mais, remova conexões obsoletas com terceiros e encerre sessões antigas periodicamente. Uma mensagem com dados verdadeiros da conta não prova que o remetente seja legítimo; dados de vazamentos ajudam criminosos a criar um contexto que parece autêntico. Fique atento a alertas inesperados de redefinição de senha, novas sessões e alteração de e-mail. Consulte avisos de segurança posteriores apenas pelo domínio oficial da organização.

Use o campo de busca segura nesta página para verificar cada endereço de e-mail atual ou antigo que você possa ter usado no Couchsurfing antes de 2020. Uma correspondência pode indicar que o endereço aparece em registros associados a este evento; isso não significa que a senha tenha sido exposta, que alguém tenha tomado o controle da conta ou que o perfil completo tenha se tornado público. Se você obtiver um resultado, identifique a caixa de e-mail usada para a conta, revise seu histórico de segurança e as configurações do Couchsurfing e elimine senhas reutilizadas. A ausência de resultados não é uma garantia absoluta, pois o conjunto de dados pode estar incompleto, um endereço pode ter sido escrito de outra forma ou outro incidente pode ser relevante. Insira apenas o identificador aceito; nunca envie uma senha, um código de uso único, um cartão de pagamento ou o conteúdo de mensagens privadas a uma ferramenta de verificação de vazamentos. Se aparecer um alerta inesperado, não use o link incluído nele e acesse sua conta pelo aplicativo ou domínio oficial.