DaFont Vazamento de dados

As categorias de dados verificadas são endereços de e-mail, nomes de usuário e senhas. O campo de senha está no formato de hash MD5 sem salt; isso não significa que a senha tenha sido publicada de forma diretamente legível. Ainda assim, como o MD5 é um método de geração de hashes rápido e fraco, invasores podem adivinhar com facilidade especialmente as senhas simples ou já expostas em outros vazamentos. A ausência de salt também facilita a associação de contas que usam a mesma senha aos mesmos valores de hash.

Quando um endereço de e-mail e um nome de usuário são encontrados juntos, pode ser possível vincular usuários a outras plataformas criativas, fóruns, comunidades de design ou perfis em redes sociais. Uma conta do DaFont, por si só, pode não parecer muito valiosa; porém, se a mesma senha tiver sido usada em outros serviços, o risco aumenta. Mensagens falsas direcionadas, sobre fontes, licenças, links de download ou alertas de conta, podem se tornar convincentes, especialmente para designers, funcionários de agências ou pessoas que usam o mesmo endereço de e-mail em ferramentas de trabalho.

Este registro abrange 637.340 contas afetadas e tem 16 de maio de 2017 como data do incidente. Embora alguns relatórios técnicos mencionem contagens brutas maiores de linhas no banco de dados, o valor usado neste registro representa o número verificado de contas afetadas. As principais categorias de dados do incidente são endereço de e-mail, nome de usuário e hash de senha MD5 sem salt. Posteriormente, o site informou que havia reforçado a estrutura de armazenamento de senhas e exigido que os usuários alterassem suas senhas.

Neste registro, endereço IP, número de telefone, endereço físico, cartão de pagamento, conta bancária, data de nascimento, nome real e conteúdo de mensagens privadas não são considerados categorias de dados verificadas. O incidente deve ser avaliado como limitado aos dados das contas de usuários do DaFont. Uma correspondência indica que o endereço de e-mail em questão está presente no conjunto de dados do DaFont; isso não significa que os arquivos de fontes, as informações de pagamento ou o dispositivo do usuário tenham sido afetados.

As pessoas com maior risco são aquelas que reutilizam a senha da conta do DaFont em outras contas. Senhas usadas em contas antigas e de baixa prioridade costumam ser esquecidas; no entanto, invasores podem usá-las em tentativas automatizadas de login. Se o e-mail e o nome de usuário forem os mesmos, também será possível vincular contas de diferentes comunidades de design ou redes sociais.

Designers, funcionários de agências, criadores de fontes e usuários ativos em comunidades criativas correm maior risco de phishing direcionado. Licenças de fontes, avisos de direitos autorais, pacotes de download, arquivos de design ou mensagens de segurança da conta falsos podem parecer autênticos. Para quem se cadastrou com um e-mail de trabalho, esse risco também pode se estender à segurança corporativa. Por isso, é preciso considerar não apenas a conta do DaFont, mas todas as contas que usam o mesmo e-mail e senhas da mesma família.

Se você encontrar uma correspondência neste registro, deve alterar a senha da sua conta do DaFont e de todas as contas em que usa a mesma senha ou uma senha semelhante. As novas senhas devem ser exclusivas, longas e difíceis de adivinhar. Você deve priorizar a proteção da conta de e-mail, ativar a autenticação multifator e verificar as sessões recentes. Variações da senha antiga com pequenas alterações também não devem ser consideradas seguras.

Fique atento a mensagens inesperadas sobre download de fontes, violação de licença, avisos de direitos autorais, pacotes gratuitos, arquivos de design ou verificação de conta. Verifique o nome de domínio e o remetente antes de abrir links e anexos. Um remetente que conhece seu nome de usuário ou sabe de uma conta antiga sua no DaFont não é confiável. Não compartilhe senhas, códigos de verificação, acesso ao e-mail ou informações de recuperação de conta com terceiros.

O incidente do DaFont mostra que até contas em comunidades criativas consideradas de baixa prioridade são importantes para a segurança das senhas. Você deve usar senhas exclusivas em cada fórum, site de downloads, comunidade de design e ferramenta de trabalho. Usar um gerenciador de senhas facilita a identificação dos locais em que senhas antigas são reutilizadas e a geração de senhas fortes. Contas que não são mais usadas devem ser encerradas ou, no mínimo, atualizadas com uma senha exclusiva.

No longo prazo, também é útil separar nomes de usuário e endereços de e-mail. Quando a mesma combinação de nome de usuário e e-mail se repete em diferentes comunidades de design, os perfis podem ser facilmente vinculados. Como links para arquivos e fontes usados em trabalhos criativos podem conter malware ou phishing, você deve baixar conteúdo apenas de fontes confiáveis e verificar mensagens inesperadas sobre licenças ou direitos autorais por um canal separado.

Uma correspondência neste registro indica que o endereço de e-mail em questão está entre as contas encontradas no vazamento de dados do DaFont de maio de 2017. Uma correspondência não indica que o incidente tenha ocorrido no ano atual; neste registro, a data do incidente é 16 de maio de 2017. O escopo verificado se limita ao endereço de e-mail, ao nome de usuário e ao hash de senha MD5 sem salt.

Primeiro, você deve alterar as senhas de todas as contas em que usa a mesma senha, proteger sua conta de e-mail com autenticação de dois fatores e revisar combinações antigas de nome de usuário e senha usadas em plataformas criativas. Mesmo que você não use mais a conta do DaFont, o risco continua se a mesma senha tiver sido usada em outros serviços. O formato de hash MD5 sem salt, combinado com a escolha de senhas fracas, pode representar um risco de longo prazo para a segurança das contas.