Vazamento de dados de Cutout.Pro

As categorias de dados confirmadas são endereços de e-mail, endereços IP, nomes e senhas. As senhas não eram armazenadas em texto simples; elas eram representadas por hashes MD5 com salt. O salt faz com que senhas idênticas gerem hashes diferentes e oferece proteção contra tabelas rainbow pré-computadas, mas o MD5 é um algoritmo rápido e fraco para o armazenamento moderno de senhas. Por isso, senhas curtas, comuns ou baseadas em palavras de dicionário continuam vulneráveis a tentativas de descoberta offline. A combinação de um endereço de e-mail com um nome pode facilitar ataques de phishing direcionados, enquanto um endereço IP pode revelar informações aproximadas sobre a rede ou a região. Números de telefone, endereços físicos, cartões de pagamento e arquivos de foto ou vídeo processados pelos usuários não estão entre as categorias de dados confirmadas. O número de 19.972.829 apresentado nesta página é o total canônico verificado de contas e não deve ser somado à descrição arredondada de “20 milhões”.

A data canônica do vazamento é 26 de fevereiro de 2024. O primeiro alerta público de que cerca de 20 milhões de registros de usuários haviam sido publicados em um fórum de cibercrime surgiu em 27 de fevereiro; relatos independentes em 29 de fevereiro e 4 de março levaram o incidente a um público mais amplo. O registro verificado foi adicionado ao catálogo de vazamentos em 28 de fevereiro. Os registros foram atribuídos diretamente a contas da Cutout.Pro e validados com base nos quatro campos canônicos. Hashes MD5 com salt não são senhas diretamente legíveis, mas a velocidade de processamento do MD5 permite que um invasor teste um grande número de possíveis senhas. Fontes confiáveis não determinaram a forma de acesso inicial, a vulnerabilidade explorada nem por quanto tempo um invasor pode ter mantido o acesso; portanto, esses detalhes não são inferidos aqui. Trata-se de um vazamento verificado de banco de dados atribuído à infraestrutura da Cutout.Pro, e não de uma compilação de senhas reunidas de sites sem relação entre si ou de dados obtidos por malware que rouba informações.

As pessoas com maior risco são aquelas que criaram uma conta na Cutout.Pro até fevereiro de 2024. Quem reutilizou a mesma senha no e-mail, em redes sociais, no armazenamento em nuvem, em uma ferramenta de design ou em outro serviço de IA corre um risco maior de ter suas contas tomadas por terceiros. Um hash MD5 com salt não é a senha em si, mas, se uma senha fraca for descoberta por tentativas offline, o valor recuperado poderá ser testado em outros serviços. Agências de design, equipes de comércio eletrônico, fotógrafos e desenvolvedores que usam as ferramentas de acesso programático do serviço podem receber mensagens falsas e direcionadas sobre faturas, alertas de limites de uso, renovações de assinatura ou compartilhamento de arquivos, pois seus endereços de e-mail profissionais fornecem contexto útil. Um endereço IP pode indicar a região aproximada de uma conexão ou o provedor de uma rede corporativa, mas não determina uma localização precisa. Este registro não confirma que arquivos de imagem processados tenham sido expostos, portanto não deve ser interpretado como evidência de que fotografias privadas dos usuários foram vazadas.

Sua primeira prioridade é substituir a senha usada na Cutout.Pro durante o período do vazamento por uma senha forte e exclusiva em todos os lugares onde ela ainda estiver em uso. Proteja primeiro a conta de e-mail associada, pois ela pode receber links de redefinição de senha e notificações de segurança. Ative a autenticação multifator nas contas de e-mail, armazenamento em nuvem, pagamento e ferramentas de design, dando preferência a um aplicativo autenticador, uma passkey ou uma chave de segurança física, quando disponíveis. Revise as sessões ativas da Cutout.Pro, os aplicativos conectados e as chaves de acesso programático; encerre as sessões que você não reconhecer e substitua as chaves suspeitas. Para iniciar uma troca de senha, digite cutout.pro no navegador em vez de seguir um link recebido em uma mensagem. Verifique o domínio do remetente em mensagens feitas para criar um senso de urgência, como “seu arquivo foi processado”, “seus créditos expiraram” ou “sua assinatura foi suspensa”.

Criar uma senha aleatória e exclusiva para cada serviço impede que a quebra do hash de uma senha afete outras contas. Armazene suas credenciais em um gerenciador de senhas confiável e proteja a conta principal dele com autenticação multifator forte. Use passkeys quando disponíveis para reduzir a dependência de senhas. Para contas de equipe, atribua usuários individuais e permissões baseadas em funções em vez de compartilhar um único login, e remova prontamente o acesso de ex-funcionários. Nunca coloque chaves de acesso programático em código-fonte, repositórios públicos ou mensagens de suporte; substitua-as regularmente e conceda apenas as permissões necessárias. Avalie a sensibilidade dos arquivos de clientes antes de enviá-los a um serviço de processamento de imagens, remova documentos de identificação ou metadados desnecessários e revise os termos contratuais de retenção. Notificações contínuas de vazamentos podem ajudar você a reagir rapidamente se o mesmo endereço de e-mail aparecer em outro incidente.

Para saber se seus dados constam no registro da Cutout.Pro, consulte todos os endereços de e-mail atuais e antigos que você possa ter usado até 2024 em um serviço confiável de consulta a vazamentos. Uma correspondência significa que o endereço aparece em um conjunto de dados verificado que pode incluir nome, endereço IP e hash MD5 de senha com salt. Isso não prova que a senha tenha sido descoberta com sucesso, mas é um alerta suficiente para que você deixe de considerá-la segura. Inclua endereços corporativos antigos, pois uma caixa de e-mail desativada pode permanecer em um registro histórico enquanto a mesma senha ainda está em uso em outro lugar. Registre o resultado sem redistribuir dados pessoais e priorize as trocas de senha, começando pelas contas de e-mail, financeiras e de serviços em nuvem. Não consulte o endereço de outra pessoa sem permissão; use as informações apenas para proteger suas próprias contas ou os ativos da organização que você tem autorização para administrar.