Vazamento de dados de Covve

As categorias de dados confirmadas são endereços de e-mail, nomes, números de telefone, endereços físicos, cargos e perfis em redes sociais. A combinação desses campos pode facilitar phishing direcionado, golpes por telefone, correspondências comerciais falsas e a associação dos perfis de uma pessoa na internet. Os dados de uma agenda de contatos podem afetar não apenas quem usa o aplicativo, mas também clientes, colegas, amigos ou outros contatos salvos por esse usuário. Senhas não estão entre as categorias de dados confirmadas neste vazamento, portanto o incidente não deve ser apresentado como um vazamento direto de senhas, um episódio de quebra de senhas ou uma perda de dados de pagamento. O campo de perfis em redes sociais se refere a identificadores ou links de perfis; ele não comprova que mensagens privadas ou credenciais de redes sociais tenham sido expostas.

Segundo o comunicado da empresa, o acesso não autorizado ocorreu antes da desativação de um sistema associado ao aplicativo web descontinuado da Covve, no início de janeiro de 2020. Em fevereiro, o grande conjunto de dados foi encontrado em uma instância Elasticsearch acessível externamente, hospedada por um provedor de nuvem. A origem era inicialmente desconhecida, por isso o registro recebeu o nome do identificador “db8151dd”, que aparecia repetidamente nos dados. A data adotada como referência é 20 de fevereiro. Embora o conjunto de dados contivesse mais de 103 milhões de linhas, a remoção de duplicatas resultou em 22.802.117 endereços de e-mail únicos. Posteriormente, confirmou-se que a origem era o sistema legado da Covve. A empresa afirmou que tomou conhecimento do incidente em 15 de maio, iniciou uma investigação, entrou em contato com o órgão regulador e informou os usuários; a atribuição do vazamento foi atualizada para Covve em 19 de maio.

A população afetada não se limita a quem criou uma conta na Covve. A empresa afirmou que dados de aproximadamente 90.000 usuários da Covve foram comprometidos, enquanto o número de 22,8 milhões de endereços de e-mail únicos reflete a população muito maior armazenada nas agendas de contatos desses usuários. Assim, alguém que nunca usou o aplicativo pode aparecer nos dados porque outra pessoa o salvou como contato. Quando cargos, perfis em redes sociais, números de telefone e endereços de e-mail são combinados, executivos, profissionais de vendas e pessoas que trabalham em funções de contato com o público podem receber mensagens de engenharia social mais convincentes. Registros que contêm endereços físicos trazem riscos adicionais à privacidade e de contatos indesejados. Como não foi confirmada a exposição de senhas e dados financeiros, a tomada de controle de contas e a fraude com cartões não devem ser apresentadas como consequências confirmadas deste incidente.

Antes de acessar links, verifique ofertas de emprego inesperadas, solicitações de atualização de contatos, pedidos de sincronização de agendas de contatos e mensagens relacionadas à Covve por um canal separado e confiável. Não considere o conhecimento do seu nome, cargo, número de telefone ou endereço como prova de que uma ligação é legítima. Revise os campos de telefone, e-mail e localização visíveis ao público nos seus perfis em redes sociais e remova informações que já não sejam necessárias. Se você usa a Covve, revise as permissões de acesso aos contatos no aplicativo atual e exclua agendas sincronizadas de que não precisa mais. Este incidente, por si só, não constitui um vazamento de senhas que exija uma redefinição automática. No entanto, se você perceber atividades suspeitas, altere a senha da conta em questão pelo serviço oficial e ative a autenticação multifator. Denuncie ameaças ou uso indevido de um endereço físico à autoridade local competente.

Aplicativos de gerenciamento de contatos podem copiar dados de pessoas que não são usuárias, por isso as permissões e os prazos de retenção devem ser revisados regularmente. Excluir contatos obsoletos, limitar a sincronização de agendas de contatos e remover conexões antigas com aplicativos reduz a exposição futura. A autenticação multifator em contas de e-mail e redes sociais continua sendo útil porque limita os danos após ataques de engenharia social, mesmo sem exposição de senhas neste incidente. Os operadores de serviços devem desativar não apenas o aplicativo, mas também seus repositórios de dados, backups e vias de acesso na nuvem. Bloquear o acesso público a bancos de dados, restringir o acesso pelas redes, minimizar os dados retidos, manter um inventário contínuo dos ativos expostos e comunicar incidentes prontamente são medidas que oferecem proteção duradoura.

Pesquise seu endereço de e-mail no LeakData para verificar se ele consta no registro do vazamento Covve/db8151dd. Consulte apenas um endereço que pertença a você ou que você tenha autorização para verificar. Um resultado positivo significa que o endereço aparece no conjunto de dados verificado; isso não comprova que você era usuário da Covve, que uma senha foi exposta ou que todos os tipos de dados listados estavam presentes no seu registro. Mesmo que você nunca tenha usado o aplicativo, seu endereço pode aparecer como um contato salvo na agenda de outra pessoa. Se houver um resultado positivo, redobre o cuidado com mensagens personalizadas por e-mail e telefone e, em seguida, revise a visibilidade dos seus perfis em redes sociais e dos seus dados públicos de contato.