Disqus Vazamento de dados

A cópia exposta do banco de dados continha endereços de e-mail, nomes de usuário do Disqus, datas de cadastro e datas do último acesso em texto simples. O total confirmado de contas afetadas é de 17.551.044 contas associadas a endereços de e-mail únicos. Cerca de um terço das contas incluía hashes de senhas SHA-1 com salt, e não senhas em texto simples; portanto, a categoria de dados “Senhas” se refere a esses hashes, não a credenciais legíveis. Para usuários que acessavam o serviço por meio de um provedor de autenticação social, havia referências a essas contas externas em vez de uma senha do Disqus. O SHA-1 e o uso de salt não revelam uma senha diretamente, mas não conseguem proteger totalmente senhas curtas ou comuns contra tentativas de descoberta offline. A combinação de endereço de e-mail, nome de usuário e datas de atividade pode facilitar phishing direcionado, spam, correlação de contas antigas e ataques de credential stuffing contra outros serviços. Não foi verificada a presença de informações de pagamento ou de cartão no escopo deste incidente.

A cópia exposta veio do banco de dados de usuários de 2012, incluía informações desde 2007 e não continha dados posteriores a julho de 2012. Por isso, o registro usa 1 de julho de 2012 como data do incidente, com precisão apenas de mês; as evidências públicas confiáveis não permitem determinar o dia exato do acesso nem o método técnico de entrada. O Disqus tomou conhecimento do ocorrido anos depois, quando um pesquisador independente informou sobre o conjunto de dados em 5 de outubro de 2017. A empresa obteve os dados e começou a validá-los naquele dia; em 6 de outubro, redefiniu as senhas das contas cujos hashes estavam presentes, entrou em contato com os usuários afetados e publicou seu comunicado. O Disqus afirmou ter migrado do SHA-1 para o bcrypt, um algoritmo mais robusto de geração de hashes de senhas, no fim de 2012. Até a divulgação, não haviam sido identificadas evidências de acessos não autorizados relacionados ao vazamento, mas a possibilidade de recuperação de senhas offline tornou necessária a proteção contra a reutilização de senhas.

O grupo de maior risco é formado por pessoas que se cadastraram diretamente com um endereço de e-mail e uma senha em 2012 ou antes e reutilizaram a mesma senha, ou uma semelhante, em outros serviços. Os hashes SHA-1 com salt presentes em aproximadamente um terço das contas são especialmente vulneráveis quando as senhas eram curtas ou baseadas em palavras comuns. Se uma senha for recuperada, os invasores podem testá-la em contas de e-mail, redes sociais, fóruns ou lojas. As senhas dos provedores externos de login social não estavam na cópia do banco de dados, embora um endereço de e-mail, um nome de usuário e uma referência à conta ainda possam ter sido expostos. As datas de cadastro e do último acesso podem ajudar um invasor a distinguir contas ativas de contas abandonadas e tornar uma mensagem mais convincente. Pessoas que depois mudaram a senha e passaram a usar credenciais únicas em todos os serviços correm menos risco de ter suas contas tomadas, mas o phishing direcionado a um endereço de e-mail antigo ainda pode funcionar.

Se a senha do Disqus que você usava em 2012 ainda estiver em uso em outro serviço, substitua cada cópia reutilizada por uma senha longa e única. O Disqus redefiniu as senhas afetadas em 2017, mas essa medida não podia alterar as cópias em outros sites. Priorize sua conta de e-mail principal, seu gerenciador de senhas, suas redes sociais e os serviços que têm um meio de pagamento salvo. Ative a autenticação multifator no e-mail e em outras contas essenciais e, em seguida, revise as sessões ativas, os endereços de recuperação e os dispositivos reconhecidos. Não confie em uma mensagem apenas porque ela cita um comentário antigo do Disqus, um nome de usuário ou uma data de cadastro. Em vez de seguir links em mensagens que dizem oferecer redefinição de senha, verificação de conta ou remoção de comentários, acesse diretamente o endereço oficial do serviço. Nunca forneça um código de autenticação de uso único, sua senha atual ou a senha mestra do gerenciador de senhas por mensagem ou ligação.

Um gerenciador de senhas que gera uma senha aleatória e única para cada serviço evita que a recuperação de uma senha a partir de um hash antigo afete outras contas. Mantenha a autenticação multifator sempre ativada nos serviços essenciais e guarde os códigos de recuperação com segurança, offline. Encerre contas de comentários, fóruns e redes sociais que você não usa ou reduza ao mínimo as informações de perfil deixadas nelas, pois contas esquecidas podem facilitar a correlação de identidades. Não considere um vazamento de 2012 inofensivo apenas por ser antigo; os dados continuam tendo valor quando a mesma senha ou o mesmo vínculo com um endereço de e-mail permanece em uso hoje. Fique atento a alertas inesperados de acesso e de redefinição de senha, revise periodicamente as regras de encaminhamento de e-mail e evite reutilizar respostas a perguntas de segurança que sejam fáceis de descobrir por meio de pesquisa. Considere que nomes de usuário antigos podem ser vinculados a perfis públicos e faça verificações adicionais ao receber mensagens baseadas nesses detalhes do passado.

Use o campo de busca seguro nesta página para verificar todos os endereços de e-mail atuais e antigos que você usou com o Disqus. Uma correspondência significa que o endereço é um dos 17.551.044 e-mails únicos presentes na cópia verificada do banco de dados; isso não prova que a senha foi recuperada nem que a conta foi tomada. Se houver uma correspondência, identifique onde a senha usada na época de 2012 foi reutilizada e substitua todas as cópias que ainda estiverem em uso. A ausência de resultados não é uma garantia absoluta, pois ainda pode existir um endereço escrito de outra forma, um registro fora deste conjunto de dados ou outro vazamento. Nunca insira uma senha, uma credencial de login social ou um código de autenticação em uma busca de vazamentos. Verificar periodicamente os endereços antigos pode revelar logo os registros de vazamentos recém-publicados e dar a você tempo para reforçar a segurança das contas antes que os dados roubados sejam usados indevidamente.