Exposição de dados de enriquecimento provenientes de um cliente da PDL

Os tipos de dados confirmados são endereços de e-mail, informações sobre empregadores, localizações geográficas, cargos, nomes, números de telefone e perfis em redes sociais. Senhas, dados de cartões de pagamento, números de documentos oficiais de identificação e o conteúdo completo de contas não estão entre os campos confirmados neste incidente. Ainda assim, a combinação de nome, empregador, cargo, telefone e perfil social oferece aos invasores um contexto detalhado sobre a função e a rede de contatos de uma pessoa.

Esses dados são valiosos em situações como phishing, mensagens falsas de recrutamento, fraudes envolvendo fornecedores, falsificação da identidade de um CEO, faturas falsas, uso abusivo de publicidade direcionada e golpes por telefone. Especialmente quando um e-mail profissional e um número de telefone aparecem juntos, o invasor pode entrar em contato com a pessoa usando sua função na empresa como pretexto. Perfis em redes sociais também podem tornar mais convincentes os pedidos falsos de conexão ou as trocas de mensagens que parecem confiáveis.

A data do incidente deve ser registrada como 16 de outubro de 2019. O registro foi adicionado a listas confiáveis de verificação de vazamentos em 22 de novembro de 2019, e sua última alteração tem o mesmo registro de data e hora. O número de contas afetadas corresponde a 622.161.052 endereços de e-mail únicos. Contagens brutas mais altas de perfis ou linhas não devem ser interpretadas como o número exato de usuários únicos, devido à repetição de dados e à combinação de diferentes conjuntos de dados.

Ao explicar o alcance, não se deve afirmar que os sistemas internos da People Data Labs foram comprovadamente comprometidos. A explicação correta é que há campos de enriquecimento de dados associados à People Data Labs em uma base de dados de um cliente ou de terceiros que foi deixada exposta. Para você, isso significa que seu endereço de e-mail aparece nesse conjunto de dados de perfis profissionais e que os campos associados aumentam o risco de engenharia social.

Estão em risco especialmente os profissionais cujo e-mail de trabalho, número de telefone, cargo, empregador e perfil em redes sociais estão associados entre si. Profissionais de vendas, finanças, recursos humanos, gestão executiva, tecnologia, relacionamento com clientes e suprimentos podem ser alvos mais valiosos para mensagens direcionadas. Essas pessoas podem ser alvo de tentativas de engano por meio de convites falsos para reuniões, arquivos de propostas, solicitações de pagamento ou supostas conexões profissionais.

Para usuários individuais, o risco surge da combinação do e-mail pessoal e dos perfis sociais com o histórico profissional. Invasores podem criar mensagens realistas usando o empregador, a cidade, um cargo anterior ou links de perfis públicos da pessoa. Para as organizações, o risco não se limita à privacidade dos funcionários: seus perfis podem ser usados em fraudes envolvendo fornecedores, instruções falsas de gestores e pedidos de conexão que parecem confiáveis.

Se houver uma correspondência positiva para você, verifique primeiro a segurança da sua conta de e-mail, da sua conta de trabalho e das suas contas em redes sociais. Use senhas fortes e exclusivas, ative a autenticação de dois fatores e encerre as sessões que você não reconhece. Embora senhas não estejam entre os dados confirmados neste caso, a proteção da conta de e-mail deve ser priorizada, pois ela é o ponto central de recuperação de outras contas.

Ofertas de emprego, compartilhamentos de arquivos, faturas, convites para reuniões, pedidos de conexão, mensagens de recrutamento e solicitações de alteração de dados de pagamento na caixa de entrada também devem ser examinados individualmente. O fato de alguém que liga saber seu nome, empregador, cargo ou informações antigas do seu perfil não comprova que essa pessoa seja confiável. A verificação por um segundo canal deve ser obrigatória para comunicações que solicitem mudanças no destino de pagamentos, códigos de acesso, senhas ou documentos confidenciais.

No longo prazo, você deve separar com mais clareza suas identidades profissional e pessoal. Usar um endereço de e-mail separado ou um alias para contas críticas, reduzir o compartilhamento desnecessário de números de telefone e e-mails pessoais em perfis sociais, limitar as informações sobre empregos anteriores e revisar regularmente as partes visíveis dos perfis são medidas que reduzem o risco. O uso de um gerenciador de senhas e da autenticação de dois fatores deve ser mantido como proteção básica.

As organizações devem incorporar incidentes desse tipo, envolvendo enriquecimento de dados, aos processos de conscientização dos funcionários, segurança de e-mail e verificação de fornecedores. Situações com faturas falsas, instruções falsas de executivos, recrutamento falso e compartilhamento falso de arquivos devem ser abordadas no treinamento de pessoas que executam tarefas de alto risco. Para solicitações que exijam transações financeiras ou alterações nas permissões de acesso, a verificação por um segundo canal deve ser obrigatória, além da aprovação por escrito.

Se o resultado no LeakData for positivo, isso indica que o endereço de e-mail consultado foi encontrado no conjunto de dados da exposição de dados de enriquecimento provenientes de um cliente da PDL. Esse resultado não significa que a pessoa seja cliente da People Data Labs nem que a senha de uma conta específica tenha vazado. O principal significado é que o endereço pode aparecer junto a campos como nome, empregador, cargo, telefone, localização ou perfil social, aumentando o risco de contatos direcionados.

Se o resultado for negativo, isso indica que nenhuma correspondência foi encontrada nesse conjunto de dados; no entanto, o mesmo endereço de e-mail pode aparecer em outros incidentes de enriquecimento de dados ou em outros vazamentos. Você deve fazer verificações regulares, usar senhas exclusivas para contas profissionais e pessoais, manter a autenticação de dois fatores ativada e cultivar o hábito de verificar mensagens inesperadas relacionadas ao trabalho por um segundo canal.