Dangdang Vazamento de dados

Os dados verificados nos registros da Dangdang são endereços de e-mail. Um endereço de e-mail, por si só, não equivale a uma senha de conta ou a informações de pagamento; no entanto, aumenta o risco de fraudes direcionadas ao revelar a associação de uma pessoa com uma plataforma específica de comércio eletrônico. Quando um invasor sabe que um usuário pode ter tido uma relação com a Dangdang no passado, pode preparar mensagens mais convincentes, como notificações de pedidos, cupons de desconto, rastreamento de entregas, verificação de conta ou procedimentos de devolução. O objetivo dessas mensagens costuma ser levar o usuário a uma página de login falsa, capturar a senha usada em outro serviço ou induzi-lo a abrir um arquivo malicioso.

Esse vazamento não deve ser interpretado como um caso clássico de roubo de credenciais, pois o campo de senha não foi verificado. Ainda assim, a circulação de endereços de e-mail em listas on-line ao longo dos anos pode expor o usuário a spam, phishing e identificação de contas por muito tempo. Quando um endereço de e-mail é combinado com dados de outros vazamentos, é possível fazer inferências sobre os hábitos de compra, o idioma usado, as preferências regionais ou o histórico de contas de uma pessoa. Esse risco é especialmente perceptível para quem usa o mesmo endereço de e-mail em diferentes lojas e serviços de pagamento.

O escopo verificado deste registro é de 4.848.734 endereços de e-mail únicos. Embora algumas notícias de 2011 tenham mencionado alegações sobre um conjunto mais amplo de informações de usuários e números maiores, esta página se baseia apenas no conjunto de endereços de e-mail que podem ser vinculados de forma confiável. Declarações feitas pela Dangdang na época indicavam que nem todos os dados que circulavam on-line pertenciam a usuários da Dangdang e que a parte verificada estava associada a informações de contas anteriores ao incidente. Por isso, o registro é mantido especificamente para o domínio da Dangdang, sem exagerar alegações mais abrangentes nem misturá-lo com outras plataformas.

Os limites dos campos de dados também devem ficar claros. Este registro não contém senhas, telefones, endereços físicos de entrega, cartões de pagamento, conteúdo de pedidos ou números de documentos oficiais de identificação. Acrescentar outros campos de clientes além do endereço de e-mail ultrapassaria o escopo verificado. Como a data do incidente está registrada como junho de 2011, o compartilhamento posterior dos dados ou sua inclusão em índices de vazamentos em anos seguintes não altera a data original do vazamento. O risco apresentado ao usuário deve se basear no fato de que um vazamento antigo de endereços de e-mail ainda pode ser usado hoje para phishing e identificação de contas.

O grupo de maior risco é formado por usuários que abriram uma conta na Dangdang antes de 2011 ou por volta dessa época, fizeram compras ou se inscreveram em newsletters. Em especial, pessoas que usam o mesmo endereço de e-mail em outros sites de comércio eletrônico sediados na China, serviços de pagamento, marketplaces ou aplicativos de entrega podem ser alvos mais frequentes. A associação do endereço de e-mail à Dangdang facilita o envio, pelo invasor, de uma campanha adaptada à região da pessoa, uma notificação de pedido ou uma mensagem de atualização de conta. Como essas mensagens remetem a uma marca em que o usuário fez compras no passado, podem despertar uma sensação de confiança.

O risco deve ser avaliado separadamente para usuários que se cadastram com um e-mail de trabalho. A presença de um endereço de e-mail corporativo em uma plataforma de compras para consumidores não significa, por si só, que os sistemas da empresa tenham sido afetados; no entanto, invasores podem adicionar esses endereços a listas de e-mails para ataques direcionados. Pessoas que fazem compras em nome de familiares, quem usa endereços de e-mail com frequência e clientes que mantêm o mesmo endereço há muitos anos também estão em risco. A idade dos dados não significa que esses endereços não tenham valor; muitas pessoas usam seus endereços de e-mail por mais de dez anos sem alterá-los.

Se o seu endereço de e-mail corresponder ao registro da Dangdang, a primeira medida é examinar com mais cuidado as mensagens sobre compras, entregas, devoluções, pagamentos e verificação de conta recebidas nesse endereço. Em vez de clicar no link da mensagem, acesse o serviço correspondente diretamente pelo navegador e confira o campo do remetente e o destino do link. Não abra anexos inesperados nem informe senhas ou dados de pagamento em formulários que pareçam estar ligados a cupons ou campanhas de brindes. Embora o endereço de e-mail, por si só, não signifique que a senha tenha sido comprometida, invasores podem usá-lo para coletar novas informações.

Se você usa o mesmo endereço de e-mail em contas críticas, ative a autenticação multifator nessas contas. A própria conta de e-mail merece proteção especial, pois os links de redefinição de senha de contas de compras e pagamentos geralmente chegam a esse endereço. Revise as regras de encaminhamento desconhecidas, as opções de recuperação e as atividades recentes de login na conta de e-mail. Guarde mensagens suspeitas em uma pasta separada e, se o endereço for compartilhado dentro de uma organização ou família, informe também os demais usuários.

O incidente da Dangdang mostra que até vazamentos antigos contendo apenas endereços de e-mail podem ter efeitos duradouros sobre a segurança. Você pode considerar o uso de endereços de e-mail diferentes para finalidades distintas: separar contas de comunicação pessoal, compras, trabalho, finanças e comunidades dificulta a associação de toda a sua identidade digital a partir de um único vazamento. Verifique regularmente suas contas antigas de compras, encerre as que não usa e revise suas inscrições em newsletters. Assim, você reduz a exposição desnecessária causada por contas acumuladas ao longo dos anos.

Para as plataformas de comércio eletrônico, a lição é que os endereços de e-mail dos clientes não devem ser considerados dados de baixo risco. Mesmo sem senhas ou dados de pagamento, eles podem ser usados para fraudes, resegmentação de público e campanhas de notificações falsas. Por isso, os dados dos clientes devem ser armazenados com privilégios mínimos de acesso, registros antigos não devem ser mantidos sem necessidade, os logs de acesso devem ser monitorados e, em caso de vazamento, os usuários devem receber informações claras sobre quais áreas foram afetadas. Não basta dizer apenas que 'nenhuma informação crítica foi vazada'; também é preciso explicar o risco de engenharia social que o endereço de e-mail pode representar.

Se o resultado da verificação nesta página corresponder ao registro da Dangdang, você poderá relacionar seu endereço de e-mail a uma conta antiga de compras. O primeiro passo é verificar as configurações de segurança da conta de e-mail e ter cautela com mensagens suspeitas relacionadas a compras. Prefira um padrão de senha exclusivo e proteção multifator para outras contas de comércio eletrônico que usam o mesmo endereço de e-mail. Mesmo que a senha não seja um campo de dados verificado neste registro, existe o risco de ela ser comprometida posteriormente por meio de mensagens falsas.

Embora o vazamento da Dangdang seja antigo, não presuma que 'isso já não importa'. Endereços de e-mail podem ser combinados com diferentes conjuntos de dados ao longo do tempo, adicionados a listas de publicidade direcionada ou de fraudes, e relações antigas com marcas podem servir de base para novos ataques. Se você encontrar este registro, reforce os cuidados com seu e-mail, revise suas contas de compras e adote hábitos de segurança mais cautelosos diante de links inesperados.