Vazamento de dados de DemandScience by Pure Incubation

As categorias de dados identificadas no registro da DemandScience by Pure Incubation são endereços de e-mail, informações sobre empregadores, cargos, nomes e sobrenomes, números de telefone, endereços físicos e links de perfis em redes sociais. Endereços de e-mail podem ser usados para phishing direcionado, golpes envolvendo redefinição de senhas e associação de contas entre diferentes serviços. Informações sobre empregadores podem ser usadas para phishing corporativo, mensagens de falsos fornecedores e abordagens de vendas insistentes e direcionadas. Os cargos podem ajudar a identificar o nível de autoridade, o departamento e as funções de tomada de decisão. Informações de nome e sobrenome tornam mais convincentes mensagens falsas de suporte, entrega e faturamento, assim como mensagens de atendimento ao cliente. Números de telefone permitem criar cenários de fraude personalizados por SMS, chamadas e aplicativos de mensagens. Endereços físicos podem ser usados em mensagens de engenharia social relacionadas a entregas, cobranças, assinaturas e serviços locais. Links de perfis em redes sociais podem conectar a identidade real de uma pessoa, seu trabalho e suas contas online.

Quando informações sobre empregador, cargo, telefone, endereço e link de perfil em rede social estão reunidas, mensagens falsas de fornecedores, vendas, recrutamento, conferências e faturas, ou que se passam por executivos, tornam-se mais realistas. Um endereço de e-mail corporativo pode deslocar a superfície de ataque de uma conta pessoal para a empresa.

O registro da DemandScience está associado ao domínio demandscience.com, ao histórico da Pure Incubation e ao conjunto de dados B2B que surgiu no início de 2024. O escopo se limita a e-mail corporativo, empregador, cargo, nome completo, telefone, endereço físico e links de perfis em redes sociais. Deve-se considerar que não há senhas, dados bancários nem conteúdo de contas privadas.

Campos que não estão presentes no registro da DemandScience não devem ser descritos como se tivessem vazado. Categorias como dados completos de cartões de pagamento, documentos oficiais de identificação, mensagens privadas, dados de saúde, informações bancárias ou conteúdo de dispositivos só devem ser incluídas na avaliação de risco se estiverem explicitamente presentes no registro. O texto se baseia em categorias de dados verificáveis e nos limites conhecidos do incidente.

Funcionários cujos endereços de e-mail corporativos constam na lista, pessoas que atuam em vendas, marketing, finanças, gestão, recursos humanos e compras, usuários cujos perfis no LinkedIn correspondem ao e-mail de trabalho e equipes abertas a mensagens com ofertas externas estão mais expostos ao risco.

Usuários que usam o mesmo endereço de e-mail em diferentes serviços, reutilizam senhas antigas, não separam contas profissionais e pessoais ou compartilham informações de telefone e endereço em várias plataformas estão mais expostos ao risco. Em casos de coleta de dados ou cadastros de perfis B2B, o risco também deve ser avaliado pelo efeito da consolidação de informações de diferentes fontes em um perfil, e não apenas com base em uma única conta.

Usuários com correspondência positiva devem verificar mensagens inesperadas sobre ofertas de emprego, vendas, faturas, reuniões, mudanças de fornecedores e aprovações de pagamento por meio de processos internos de validação. Como o registro da DemandScience não contém senhas, a prioridade é a conscientização sobre engenharia social e phishing corporativo.

Usuários com correspondência positiva devem atualizar as senhas das contas em que usam senhas iguais ou semelhantes, ativar a autenticação de dois fatores quando possível e conferir suas sessões recentes. No caso de registros que não contêm senhas, mas incluem dados de contato ou de perfil, é preciso ter cautela com chamadas, ofertas, devoluções, parcerias e mensagens de verificação inesperadas.

No longo prazo, o hábito de usar um gerenciador de senhas, senhas únicas e autenticação de dois fatores, além de remover informações pessoais desnecessárias das contas, reduz o risco. Reutilizar o mesmo endereço de e-mail em diferentes plataformas facilita a combinação de dados de diferentes vazamentos; pode-se considerar o uso de um e-mail separado ou de um alias para contas críticas.

As empresas devem reduzir a exposição pública dos dados de contato dos funcionários, usar um segundo mecanismo de aprovação em transações financeiras e de compras e treinar os funcionários para reconhecer tentativas de phishing direcionadas por cargo. Usuários individuais devem manter a separação entre contas profissionais e pessoais.

A consulta no LeakData mostra se o endereço de e-mail pesquisado está presente no registro da DemandScience. Um resultado positivo não significa necessariamente que todos os campos de dados pertençam de fato àquele usuário; ainda assim, é um alerta suficiente para adotar medidas de proteção. Um resultado negativo indica apenas que não há correspondência nesse conjunto de dados e não elimina a possibilidade de o endereço aparecer em outros vazamentos.

Um resultado positivo indica que o endereço de e-mail está presente no conjunto de dados B2B associado à DemandScience/Pure Incubation. Esse resultado não significa que a senha tenha vazado; no entanto, deve ser levado em conta na avaliação do risco de ataques direcionados no ambiente corporativo e de engenharia social.