Vazamento de dados de Ducks Unlimited

Os tipos de dados verificados são datas de nascimento, endereços de e-mail, nomes, números de telefone, endereços físicos e hashes de senha MD5 sem salt. A combinação de e-mail, nome, telefone e endereço permite traçar um perfil bastante claro da identidade do usuário. Com a inclusão da data de nascimento, mensagens falsas de verificação de cadastro de membro, atualização de doações, confirmação de endereço ou recuperação de conta podem se tornar mais convincentes. O campo de endereço físico é especialmente importante porque o risco não se limita à segurança das contas online; ele também pode facilitar fraudes direcionadas por correspondência e telefone.

Um hash de senha não é uma senha em texto simples, mas uma estrutura MD5 sem salt não é considerada uma proteção forte. Invasores podem descobrir senhas fracas com mais facilidade e testá-las em outras contas que usam o mesmo e-mail. Usuários vinculados a organizações como membros ou doadores podem ter usado o mesmo e-mail e a mesma senha em outras associações, sites de compras, fóruns ou contas de e-mail. Por isso, o vazamento de dados da Ducks Unlimited deve ser avaliado não apenas pelo risco de spam, mas também pelos riscos de controle indevido de contas, fraudes contra doadores e exposição de endereços.

A data verificada registrada para o incidente é 29 de janeiro de 2021. O conjunto de dados foi relatado no contexto de um banco de dados da Ducks Unlimited que foi comprado e vendido online em meados de 2021, e foi incluído nos registros de vazamentos verificados em 16 de novembro de 2021. O registro contém 1.324.364 endereços de e-mail únicos. Alguns relatos podem mencionar aproximadamente 1,3 milhão de usuários ou membros; esta página se baseia no número exato de e-mails únicos usados na consulta.

O escopo deve ser entendido a partir de duas listas principais: a lista de membros e a lista de usuários do site. Isso não significa que todas as pessoas encontradas no registro tenham todos os mesmos campos de dados. Alguns registros podem estar relacionados às informações de membros, enquanto outros podem estar relacionados às informações de contas do site. Os campos verificados são data de nascimento, e-mail, nome, telefone, endereço físico e hash de senha. Cartão de crédito, conta bancária, valor de doação, documento oficial de identificação e dados sensíveis de saúde não são categorias de dados verificadas neste registro.

O grupo de maior risco é formado por membros, doadores e usuários com uma conta no site da Ducks Unlimited. Para as pessoas que constam na lista de membros, campos como endereço, número de telefone e data de nascimento podem representar um risco mais direto à privacidade. Para usuários com uma conta no site, o risco de reutilização de senhas ganha destaque. Se o mesmo e-mail e a mesma senha forem usados em outras contas, invasores poderão testar essas informações em diferentes serviços. O vínculo como doador ou membro pode ser usado para transmitir confiança em mensagens falsas de renovação de doação ou verificação de cadastro de membro.

Pessoas cujo endereço físico e número de telefone foram vazados podem ser alvo de abordagens por correspondência, telefone ou e-mail. Um invasor pode preparar uma mensagem falsa em nome da organização sobre uma campanha de doação, atualização de cadastro de membro, notificação de recompensa ou verificação de conta. A data de nascimento também pode ser usada nessas mensagens para transmitir ainda mais confiança. Mesmo que o registro seja antigo, dados como endereço e data de nascimento podem permanecer inalterados por muito tempo. Por isso, os usuários devem proteger não apenas suas senhas, mas também seus canais de comunicação.

Se a senha usada na conta da Ducks Unlimited ainda estiver em uso em outra conta, ela deve ser alterada imediatamente. Se a mesma senha, ou uma semelhante, tiver sido usada em contas de e-mail, doações, compras, redes sociais ou fóruns, cada uma dessas contas deve receber uma senha exclusiva. A autenticação de dois fatores deve ser ativada na conta principal de e-mail. Se a conta de e-mail for comprometida, os links de redefinição de senha de outras contas também estarão em risco. Um gerenciador de senhas facilita a identificação de senhas antigas reutilizadas.

Solicitações de doação, renovação de vínculo como membro, verificação de endereço ou atualização de conta recebidas por telefone, correspondência e e-mail devem ser verificadas com cuidado. Mesmo que a mensagem mencione corretamente seu nome, endereço ou data de nascimento, isso, por si só, não comprova que ela seja segura. Se uma solicitação pedir pagamento, número de cartão, dados bancários, código de uso único ou senha, você deve interromper o processo e verificar a transação pelos canais oficiais conhecidos. Neste incidente, mesmo que o destinatário do pagamento não tenha sido verificado, as informações de contato vazadas poderiam ser usadas posteriormente para enganar alguém e obter dados de pagamento.

No longo prazo, contas de membro e de doação devem usar senhas distintas e exclusivas. Usar o mesmo endereço de e-mail em várias contas de doações, campanhas e associações aumenta o risco de fraudes direcionadas. Os usuários devem encerrar contas online que não usam mais, revisar suas preferências de comunicação e reduzir ao mínimo os campos desnecessários no perfil. Contas que contêm endereço físico e telefone devem ser verificadas regularmente. Até endereços antigos podem ser usados em engenharia social como informações de autenticação anteriores.

Para as organizações, este incidente mostra que dados de membros e doadores devem ser tratados como dados pessoais sensíveis. Hashes de senha não devem ser armazenados com métodos fracos, como MD5 sem salt; devem ser usados métodos modernos de hash, com salt e alto custo computacional. Listas de membros e de usuários do site não devem ser mantidas por mais tempo do que o necessário, as permissões de acesso devem ser reduzidas ao mínimo, atividades de exportação de grandes volumes de dados devem ser monitoradas e as notificações após uma violação devem ser claras. A confiança dos doadores depende não apenas da proteção dos dados de pagamento, mas também da proteção de endereços e informações de contato.

Se você encontrar uma correspondência neste registro, seu endereço de e-mail pode ter sido identificado entre os 1.324.364 e-mails únicos associados ao vazamento de dados da Ducks Unlimited. Uma correspondência não significa que os dados do seu cartão de pagamento ou da sua conta bancária tenham sido vazados. Os campos verificados são data de nascimento, e-mail, nome, telefone, endereço físico e hash de senha MD5 sem salt. O primeiro passo é verificar em quais outras contas você reutilizou a senha antiga dessa conta.

Se você usa sua senha antiga em outras contas, altere-a. Ative a verificação em duas etapas na sua conta de e-mail e confirme mensagens relacionadas a membros ou doações diretamente pelos canais oficiais. Não compartilhe informações de pagamento ou de verificação de forma precipitada em mensagens que incluam dados de endereço e telefone. A abordagem adequada para o vazamento de dados da Ducks Unlimited não é tratá-lo apenas como o vazamento de uma lista de membros, mas reconhecer que hashes de senha fracos, combinados com dados de endereço e telefone, podem representar riscos de longo prazo para as contas e facilitar fraudes.