Vazamento de dados de Data & Leads

Os tipos de dados verificados no registro da Data & Leads são endereços de e-mail, empregadores, endereços IP, cargos, nomes, números de telefone e endereços físicos. Essa combinação revela não apenas o endereço de contato de uma pessoa, mas também seu contexto profissional e a facilidade de entrar em contato com ela. Um invasor ou uma rede de marketing mal-intencionada pode combinar nome, empresa, cargo e endereço de e-mail para elaborar mensagens que pareçam personalizadas. Informações de telefone e endereço físico também podem tornar as tentativas de fraude mais convincentes. Já os endereços IP podem fornecer pistas adicionais sobre o contexto de conexões anteriores, a região ou o provedor de rede.

Não há campo de senha no vazamento da Data & Leads. Essa distinção é importante, pois você não deve receber uma mensagem afirmando diretamente que a senha da sua conta foi comprometida. Ainda assim, campos como e-mail profissional, número de telefone e cargo facilitam o contato de um invasor com a pessoa. Quem atua em gestão, vendas, finanças, recursos humanos, compras ou tomada de decisões técnicas pode ser mais suscetível a ataques como ofertas falsas, redirecionamento de pagamentos, alterações de faturas, convites para reuniões ou falsificação da identidade de parceiros. Por isso, a avaliação do risco deve se concentrar mais na segurança das comunicações e na conscientização sobre engenharia social do que na troca de senhas.

O vazamento da Data & Leads se baseia em 44.320.330 endereços de e-mail únicos. Notícias relacionadas ao incidente podem mencionar números brutos de registros mais altos; no entanto, a contagem bruta de linhas não corresponde ao número de pessoas ou e-mails únicos. A mesma pessoa pode aparecer em várias linhas de dados, alguns registros podem estar incompletos e algumas informações profissionais podem estar desatualizadas. Portanto, o número apresentado a você representa a abrangência verificada de e-mails únicos. O fato de o conjunto de dados estar relacionado a contextos de marketing e geração de potenciais clientes também indica que as informações presentes nele podem ter sido compiladas de diferentes fontes.

Também é importante deixar claros os limites dos campos de dados. No registro da Data & Leads, senhas e informações financeiras ou médicas altamente sensíveis não estão entre os campos verificados. A presença do cargo de uma pessoa ou de informações sobre seu empregador não significa que os sistemas da empresa tenham sido comprometidos. Da mesma forma, o campo de endereço físico não corresponde necessariamente ao endereço residencial de todas as pessoas; pode ser um endereço comercial, de escritório ou de outro tipo mantido em uma lista de marketing. Por isso, ao listar explicitamente os campos verificados, o texto não deve afirmar que eles estão igualmente completos e atualizados para todas as pessoas.

O grupo de maior risco é formado por profissionais cujo e-mail de trabalho e cujas informações de contato direto estão incluídos nesse conjunto de dados. Equipes de vendas, gestores, proprietários de empresas, consultores, equipes de recrutamento, funcionários da área financeira e responsáveis por decisões técnicas podem ser alvos preferenciais. Quando o invasor conhece a empresa e o cargo da pessoa, pode criar um cenário mais convincente. Por exemplo, pode elaborar mensagens que pareçam uma solicitação de um novo cliente, uma parceria comercial, uma correção de fatura, um link de reunião, um arquivo de proposta ou uma comunicação de recursos humanos. Esses tipos de ataque podem direcionar você a um link malicioso ou levar você a fornecer novas informações, independentemente das senhas.

Pequenas empresas e profissionais autônomos também devem ter cautela. Se um número de telefone ou endereço pessoal for usado nas comunicações profissionais, a superfície de ataque aumenta. Como essas pessoas costumam gerenciar contas profissionais e pessoais pelo mesmo e-mail ou telefone, um vazamento originado em uma lista de marketing pode resultar na criação de perfis de identidade mais abrangentes. O risco para endereços de e-mail associados a domínios corporativos não é apenas individual: invasores podem relacionar várias pessoas da mesma empresa para mapear o organograma e preparar campanhas de mensagens mais direcionadas.

Se os seus dados corresponderem ao registro da Data & Leads, você deve, sobretudo, examinar com mais cuidado as ofertas de emprego, os convites de compartilhamento de arquivos, as notificações de faturas, os links de reuniões e as mensagens de atualização de conta que receber. Não abra diretamente os links das mensagens e verifique, por um canal separado, as páginas que solicitarem downloads de arquivos ou login. No caso de solicitações recebidas por telefone, confirme a identidade de quem ligou usando um número conhecido da instituição ou um canal de comunicação previamente verificado. Mensagens elaboradas com informações sobre seu empregador ou cargo podem parecer legítimas; por isso, a simples presença de dados pessoais corretos não torna a mensagem confiável.

Você também deve revisar a segurança do seu e-mail profissional. Embora a senha não faça parte do vazamento da Data & Leads, o risco pode aumentar se o e-mail profissional tiver sido usado em outros vazamentos. Por isso, use senhas exclusivas e autenticação multifator nas contas críticas. Verifique as regras de encaminhamento, as sessões desconhecidas e as opções de recuperação da conta de e-mail. Na organização, as equipes de vendas, finanças e gestão devem ser avisadas de que podem receber mensagens direcionadas relacionadas à Data & Leads. Especialmente para solicitações como redirecionamento de pagamentos e alterações de informações de fornecedores, deve ser implementado um processo de segunda aprovação.

O incidente da Data & Leads mostra que conjuntos de dados de marketing e de potenciais clientes não devem ser subestimados em termos de segurança pessoal. Profissionais devem revisar regularmente onde compartilham suas informações de contato de trabalho, cancelar assinaturas de newsletters desnecessárias e cadastros em fornecedores de dados, além de ter cuidado ao adicionar telefone e endereço pessoais a formulários relacionados ao trabalho. As empresas também devem evitar divulgar excessivamente os endereços de e-mail e os números de telefone direto de funcionários em fontes públicas. Quando a visibilidade das informações de contato for inevitável, os processos de verificação contra fraudes devem ser reforçados.

A lição para empresas que processam dados é que listas de marketing também são dados pessoais que precisam de proteção. O fato de uma lista não conter senhas ou informações de pagamento não a torna de baixo risco. A combinação de e-mail, telefone, empregador, cargo e endereço tem alto valor para a engenharia social direcionada. Por isso, as bases de dados devem ser protegidas com controle de acesso, autenticação, restrições de rede, registro de atividades e práticas que evitem o armazenamento de dados desnecessários. Organizações que trabalham com fornecedores de dados terceirizados devem auditar regularmente quais dados são armazenados, onde e por quanto tempo.

Se o resultado da verificação nesta página corresponder ao registro da Data & Leads, seu endereço de e-mail pode ter sido incluído em dados de contato profissional ou de marketing. O primeiro passo é adotar uma verificação mais rigorosa das mensagens de trabalho enviadas a esse endereço de e-mail. Mesmo que você receba uma mensagem que mencione corretamente seu empregador, cargo ou número de telefone, confirme a autenticidade da solicitação por um canal separado antes de clicar em qualquer link ou abrir um arquivo. Como informações de telefone e endereço também podem fazer parte do vazamento, avalie com cuidado ligações inesperadas e notificações recebidas por correspondência física.

Como esse vazamento não continha senhas, apenas trocar a senha não é uma medida suficiente. O principal objetivo é reduzir o risco de criação de perfis de identidade e de fraudes por meio de comunicações. Você deve reforçar a segurança do seu e-mail profissional, usar verificação adicional em contas importantes, compartilhar mensagens suspeitas com a equipe de segurança da organização e criar o hábito de conferir novamente as solicitações de pagamento ou de documentos. As organizações, por sua vez, devem monitorar os domínios afetados e fornecer aos funcionários alertas breves e claros sobre possíveis cenários de ataques direcionados.