Vazamento de dados de Drizly

Os tipos de dados verificados em uma conta da Drizly são datas de nascimento, informações de dispositivos, endereços de e-mail, endereços IP, nomes, números de telefone, endereços físicos e hashes de senhas gerados com bcrypt. A data de nascimento e o endereço tornam o perfil de identidade de uma pessoa mais completo. Quando telefone e e-mail aparecem juntos, mensagens falsas de suporte, entrega, verificação de idade ou atualização de conta podem parecer mais convincentes. O endereço IP e as informações do dispositivo podem fornecer pistas adicionais sobre o contexto aproximado da rede do usuário e o tipo de dispositivo que ele utiliza.

A proteção dos hashes de senhas com bcrypt é uma situação melhor do que o vazamento de senhas em texto simples. Mesmo assim, o risco persiste para senhas fracas, curtas ou reutilizadas. Se o mesmo e-mail e a mesma senha foram usados em outras contas de compras, entregas, e-mail ou redes sociais, invasores podem tentar usar essa combinação. O fato de se tratar de um serviço de pedidos de bebidas alcoólicas também amplia as implicações para a privacidade; a idade, o endereço e o contexto de consumo do usuário podem servir de base para mensagens mais direcionadas. Por isso, o vazamento de dados da Drizly deve ser avaliado não apenas em relação à troca de senhas, mas também à segurança das comunicações e à proteção do endereço.

O incidente verificado ocorreu em julho de 2020 e está associado a 2.479.044 endereços de e-mail únicos. Diferentes fontes podem mencionar aproximadamente 2,5 milhões de clientes; essa expressão arredondada é compatível com o número de e-mails únicos no registro. Os documentos regulatórios também abordam vulnerabilidades de segurança anteriores da Drizly e falhas relacionadas à segurança das contas de funcionários. Essas informações fornecem contexto técnico; no entanto, o principal risco a ser apresentado ao usuário está nos campos de dados de clientes verificados e na possibilidade de uso indevido desses campos.

É importante não ampliar o escopo. Neste registro, o número completo do cartão de crédito, a conta bancária, o número de documento oficial de identificação, o conteúdo dos pedidos e a senha em texto simples não aparecem como categorias de dados verificadas. O risco relacionado às senhas deve ser avaliado considerando o uso de hashes bcrypt. O encerramento posterior da Drizly não elimina o impacto dos dados de 2020, pois campos como e-mail, telefone, data de nascimento e endereço podem permanecer inalterados por muito tempo. Este registro se limita ao incidente de 2020 envolvendo dados de clientes da Drizly; ele não deve ser confundido com outros serviços da Uber ou com incidentes separados ocorridos posteriormente.

O grupo de maior risco é formado por clientes que criaram uma conta na Drizly ou fizeram pedidos de bebidas alcoólicas pela Drizly antes de 2020. Pessoas que usam o mesmo endereço de e-mail em outras contas de entregas, supermercado, compras ou e-mail podem ser alvo com mais facilidade. A data de nascimento e o endereço podem fazer com que mensagens fraudulentas pareçam personalizadas para a pessoa. Usuários com número de telefone podem receber ligações falsas sobre entregas, verificação de idade, atualização de conta ou promoções.

Usuários que reutilizam a mesma senha em diferentes serviços também estão em risco. Embora a proteção por hash bcrypt dificulte a leitura imediata da senha, o risco de tentativas de uso indevido continua para senhas antigas e fracas. Mesmo que a Drizly não seja mais usada como serviço independente, você ainda pode estar usando sua antiga senha da Drizly na conta de e-mail, na conta da Uber, em plataformas de entrega ou em contas de outras lojas. Campos que não mudam, como endereço físico e data de nascimento, podem ser usados em mensagens de phishing personalizadas mesmo anos após o incidente.

Se você ainda usa em outro serviço a senha que usava na conta da Drizly, troque-a imediatamente. Se você usou a mesma senha ou uma semelhante em contas de e-mail, compras, entregas, contas vinculadas a pagamentos ou na conta da Uber, defina uma senha exclusiva para cada uma. Proteja sua conta de e-mail com autenticação de dois fatores. Se não for possível acessar a antiga conta da Drizly, verifique as outras contas vinculadas ao mesmo endereço de e-mail e encerre qualquer sessão suspeita.

Preste atenção às mensagens sobre entregas, verificação de idade, atualização de cadastro ou campanhas recebidas por telefone e e-mail. Mesmo que sua data de nascimento, seu endereço ou seu número de telefone apareçam corretamente na mensagem, não a considere confiável por esse motivo. Em vez de clicar em links, acesse diretamente o endereço do serviço em questão. Recuse solicitações de números de cartão, códigos de uso único, informações bancárias ou senhas. Mesmo que dados financeiros não estejam entre os dados verificados neste registro, as informações pessoais vazadas podem ser usadas posteriormente para induzir alguém a fornecer informações financeiras.

No longo prazo, revise regularmente as informações de endereço, telefone e data de nascimento mantidas em contas de entrega e varejo. Encerre contas que você não usa, exclua endereços desatualizados e prefira endereços de e-mail separados para contas usadas em campanhas promocionais, em vez do seu e-mail principal. Um gerenciador de senhas facilita a verificação de outras contas que ainda usam uma antiga senha da Drizly. Como endereço físico e data de nascimento são informações que não mudam, trate com cautela as mensagens personalizadas associadas a esses dados, mesmo anos depois.

Para as empresas, o incidente da Drizly mostra que contas de desenvolvedores e credenciais de acesso à nuvem podem representar um risco direto ao banco de dados de clientes. O princípio do menor privilégio, a troca periódica de chaves de acesso, a autenticação forte nas contas de funcionários, os alertas de acesso incomum a dados e a exclusão de dados de clientes desnecessários são medidas essenciais. As decisões regulatórias sobre a Drizly também enfatizam a importância da minimização de dados e da responsabilidade individual. Quando se armazena apenas o mínimo necessário de dados de clientes, o alcance do impacto de um vazamento também é reduzido.

Se você encontrar uma correspondência neste registro, seu endereço de e-mail pode estar entre os 2.479.044 e-mails únicos associados ao vazamento de dados da Drizly. Uma correspondência não significa que o número completo do seu cartão ou sua senha em texto simples tenham vazado. No entanto, ela indica que campos como data de nascimento, endereço, telefone, informações do dispositivo, endereço IP e hash de senha bcrypt representam um risco de segurança. O primeiro passo é verificar se a senha que você usava na época da Drizly está sendo usada em outras contas.

Mesmo que a Drizly não seja mais um aplicativo independente, os dados vazados ainda podem ser úteis para ataques com base em informações antigas de e-mail, telefone e endereço. Tenha cuidado com mensagens sobre entregas, verificação de idade, atualizações de conta ou campanhas promocionais. O fato de uma mensagem conter detalhes sobre você não a torna confiável. Proteja a conta de e-mail relacionada, suas contas de entrega e as contas vinculadas a pagamentos. A abordagem correta ao vazamento de dados da Drizly não é tratá-lo como um conjunto de registros antigos de um serviço encerrado, mas reconhecer que campos de dados pessoais que permanecem válidos por muito tempo ainda podem ser usados em engenharia social.