Vazamento de dados de Coupon Mom / Armor Games em 2014

As categorias de dados verificadas são endereços de e-mail e senhas. Este registro diz respeito diretamente à segurança das informações de identidade, e não a outros dados pessoais, como nome, telefone, endereço físico ou informações de pagamento. Quando o e-mail e a senha são encontrados juntos, invasores podem tentar usar a mesma combinação em diferentes serviços. Essas tentativas podem ocorrer em contas de e-mail, plataformas de jogos, contas de compras, sites de cupons e descontos, fóruns ou perfis em redes sociais.

A presença de senhas em texto simples nos dados reportados aumenta o risco. Sem precisar quebrar hashes ou fazer análises técnicas, as mesmas combinações podem ser usadas em tentativas automatizadas de login. Mesmo que o registro seja classificado como não verificado, isso não significa que os dados sejam irrelevantes. Pelo contrário: como contêm combinações de senhas que usuários reais utilizaram no passado, eles têm valor prático para um invasor. Em especial, senhas antigas que continuam sendo reutilizadas podem representar um risco de segurança mesmo anos depois.

Este registro abrange 11.010.525 contas afetadas e tem 8 de fevereiro de 2014 como data do incidente. As categorias de dados verificadas são endereço de e-mail e senha. No entanto, como não é possível verificar a fonte de maneira conclusiva, o registro é classificado como não verificado. Essa classificação não significa que o conjunto de dados não contenha informações pessoais reais; indica apenas que não é possível determinar com certeza absoluta de quais serviços vieram todos os registros.

Embora Coupon Mom e Armor Games sejam mencionados no título, o conjunto de dados não deve ser interpretado como uma lista exata e completa de clientes apenas desses dois serviços. As constatações divulgadas mostram que é possível estabelecer vínculos com ambos os serviços; porém, os dados não representam toda a base de clientes e podem incluir registros de outras fontes. A descoberta posterior de indícios de contas de BeerAdvocate reforça a possibilidade de que o conjunto reúna dados de diferentes origens. Neste registro, os campos verificados se limitam a e-mail e senha; telefone, endereço, cartão de pagamento, perfil de usuário e conteúdo de mensagens privadas não estão entre as categorias de dados verificadas.

O grupo de maior risco é formado por pessoas que usaram o mesmo e-mail e a mesma senha em Coupon Mom, Armor Games, BeerAdvocate ou sites semelhantes no mesmo período, antes de 2014. Você pode se lembrar de apenas um desses serviços; como o conjunto reúne dados de diferentes origens, uma correspondência não deve ser considerada prova definitiva de cadastro em um site específico. Ainda assim, o histórico de senhas usadas com o endereço de e-mail correspondente deve ser levado a sério.

Quem reutiliza senhas corre um risco especial. Se uma senha usada em um antigo site de cupons, conta de jogos ou fórum também foi usada posteriormente em contas de e-mail, compras, plataformas de streaming, redes sociais ou trabalho, invasores podem tentar usar a mesma combinação. Como contas criadas há muitos anos acabam sendo esquecidas, você pode não se lembrar de onde usou essas senhas. Por isso, conjuntos de dados antigos ainda podem afetar a segurança das contas atuais.

Se você encontrar uma correspondência neste registro, deve primeiro revisar as senhas antigas que usava naquela época. Se a mesma senha, ou uma semelhante, estiver sendo usada em alguma conta atual, troque-a imediatamente. As novas senhas devem ser exclusivas para cada serviço e armazenadas em um gerenciador de senhas. A conta de e-mail merece prioridade especial, pois os links de redefinição de senha de outras contas são, em sua maioria, enviados por e-mail. Ative a autenticação multifator na conta de e-mail e verifique se há sessões suspeitas.

A mesma senha pode ter sido usada em contas de jogos, fóruns, cupons, compras e redes sociais. Não considere apenas sua conta de Coupon Mom ou Armor Games; avalie também os padrões de senha que você costumava usar antes de 2014. Continuar usando uma senha antiga com pequenas alterações também é arriscado. Invasores podem testar padrões previsíveis, como a troca de um único caractere, a inclusão de um ano ou variações de caracteres especiais. Por isso, todas as variações da senha antiga devem ser abandonadas.

Este registro mostra que mesmo conjuntos de dados não verificados podem ser importantes para a segurança dos usuários. A origem pode não estar clara; no entanto, se as combinações de e-mail e senha forem reais, o invasor não precisa saber de onde vieram para usá-las. A estratégia de longo prazo é usar senhas exclusivas para cada serviço, manter um histórico das senhas antigas em um gerenciador de senhas e ativar uma verificação adicional nas contas mais importantes. Assim, um único conjunto de dados antigo não compromete outras contas.

Você deve revisar periodicamente suas contas antigas, encerrar contas de cupons, fóruns, jogos e comunidades que não usa mais ou definir senhas exclusivas para elas. Além disso, se um endereço de e-mail aparecer em vazamentos antigos, isso pode resultar em mais mensagens indesejadas e tentativas de phishing. Por isso, examine com cuidado mensagens inesperadas sobre descontos, contas de jogos, cartões-presente, recuperação de cadastro ou redefinição de senha. Em vez de clicar nos links da mensagem, digite manualmente o domínio conhecido do serviço para realizar qualquer ação.

Uma correspondência neste registro indica que o endereço de e-mail em questão está presente no conjunto de credenciais de diferentes origens catalogado sob os nomes Coupon Mom / Armor Games. Essa correspondência não deve ser interpretada como prova de cadastro em um serviço específico. Como o conjunto de dados é classificado como não verificado e também contém indícios de outros serviços, a medida correta é eliminar completamente a reutilização de senhas antigas, em vez de se concentrar em um único site.

Você deve atualizar imediatamente suas senhas antigas, identificar todas as contas em que a mesma senha é usada e proteger sua conta de e-mail com uma verificação adicional. Em especial, padrões de senha usados com frequência antes de 2014 não devem permanecer em nenhuma conta atual. Mesmo que a correspondência seja de uma data anterior, combinações de senha em texto simples continuam tendo valor por muito tempo para tentativas automatizadas de login e ataques direcionados de phishing. Por isso, este registro deve ser tratado como uma prioridade alta para a segurança das contas na prática, mesmo com limitações na atribuição definitiva da origem dos dados.