Vazamento de dados de Dunzo

Os tipos de dados verificados são informações sobre dispositivos, endereços de e-mail, informações de localização geográfica, endereços IP, nomes e números de telefone. Com o telefone e o e-mail disponíveis em conjunto, é possível aplicar golpes direcionados por mensagem de texto, ligação e e-mail. O nome permite personalizar a mensagem. Os campos de endereço IP e localização geográfica podem fornecer contexto sobre a região aproximada do usuário ou a cidade onde ele utiliza o serviço. As informações sobre dispositivos podem oferecer uma pista adicional sobre o tipo de aparelho ou o perfil técnico utilizado.

Neste caso, como não foi confirmado um vazamento de senhas, o risco direto de tomada de controle de contas é mais limitado do que em vazamentos que incluem senhas. No entanto, os dados de contato e localização são recursos valiosos para a engenharia social. Um invasor pode pedir informações adicionais ao usuário sob o pretexto de alterar o endereço de entrega, reembolsar um pagamento, informar um atraso no pedido, oferecer um código promocional ou atualizar a conta. Para usuários com número de telefone no registro, ligações e mensagens de texto falsas representam um risco maior. O contexto geográfico pode fazer a mensagem parecer pertinente à região onde o usuário mora ou recebe serviços.

A data verificada do incidente é registrada como 19 de junho de 2020, e o registro foi adicionado às listas de vazamentos verificados em 29 de julho de 2020. O número de endereços de e-mail únicos afetados é 3.465.259. Algumas notícias podem citar números próximos de 3,4 milhões, 3,5 milhões ou mais; esta página se baseia no número de endereços de e-mail únicos verificados usado na consulta. Foi confirmado que o conjunto de dados circulou em fóruns on-line e foi associado a dados da Dunzo.

O escopo não deve ser ampliado. Neste registro, senhas, cartões de pagamento, contas bancárias, documentos oficiais de identificação, endereços físicos, conteúdo dos pedidos, compras de medicamentos e histórico detalhado de entregas não são categorias de dados verificadas. O campo de localização geográfica não significa que existam coordenadas GPS exatas para cada usuário; ele também pode indicar uma área mais restrita ou um contexto de localização. Portanto, não se deve levar os usuários a acreditar que o endereço exato de entrega ou o histórico detalhado de pedidos fazem parte do escopo verificado. O risco efetivo está no uso conjunto dos dados de contato, dispositivo, IP e localização.

O grupo de maior risco é formado por clientes que usam serviços de entrega, compras de supermercado, envio de encomendas ou serviços dentro da cidade pela Dunzo. Usuários com número de telefone e endereço de e-mail podem ser alvo de falsas atualizações de entrega ou ligações de atendimento ao cliente. O nome e o contexto de localização podem fazer a mensagem parecer baseada em um histórico real de uso do serviço. Para quem usa o mesmo número de telefone em diferentes contas de entrega e compras, aumenta o risco de ser alvo de golpes que envolvam várias dessas contas.

Usuários que receberam serviços em cidades onde a Dunzo atua na Índia podem ficar mais expostos. Informações de IP e dispositivo podem ajudar o invasor a personalizar a mensagem para um aparelho específico ou um contexto regional. Como o vazamento de senhas não foi verificado, o foco inicial não deve ser a troca de senha, mas o reconhecimento de comunicações falsas. No entanto, se a senha da conta da Dunzo também for usada em outras plataformas e for fraca, recomenda-se adotar uma senha exclusiva e uma verificação adicional para a segurança geral das contas. Este incidente é particularmente relevante para golpes por telefone e phishing por SMS.

Mensagens inesperadas em nome da Dunzo sobre entregas, devoluções, promoções, verificação de conta ou correção de pagamento devem ser avaliadas com atenção. Mesmo que seu nome, número de telefone ou localização apareçam corretamente na mensagem, isso não garante que ela seja segura. Em vez de clicar no link, você deve acessar a conta correspondente diretamente pelo endereço oficial ou pelo aplicativo. Se alguém ligar e pedir número de cartão, informações bancárias, código de uso único, senha ou documento de identidade, você deve interromper o procedimento.

Você deve ativar a autenticação de dois fatores na conta de e-mail e usar filtros contra spam e fraudes na linha telefônica. Também pode revisar as informações visíveis e as preferências de comunicação na conta da Dunzo. Como não foi confirmado um vazamento de senhas neste incidente, este registro, por si só, não justifica uma troca generalizada de senhas por pânico; ainda assim, usar uma senha exclusiva nas contas importantes que utilizam o mesmo e-mail continua sendo uma boa medida de segurança. Pedidos de pagamento e etapas de verificação de conta também devem ser conferidos separadamente em todas as mensagens associadas a plataformas de entrega.

No longo prazo, você deve revisar regularmente os dados de telefone e e-mail usados em contas de entrega e compras. Usar um endereço separado, em vez do e-mail principal, para promoções e serviços de entrega pode reduzir o impacto dos vazamentos de dados sobre as contas principais. Você deve evitar compartilhar números de telefone em contas desnecessárias, encerrar contas antigas e reduzir ao mínimo os campos visíveis do perfil. É importante lembrar que campos técnicos, como IP, dispositivo e localização, também são dados pessoais.

Para os operadores de plataformas, o incidente da Dunzo mostra que conceder acesso a sistemas de terceiros representa um risco direto aos dados dos clientes. Os acessos de fornecedores devem ser limitados, o acesso aos dados dos clientes deve seguir o princípio do menor privilégio, as atividades de exportação em grande volume devem ser monitoradas e dados de contato, como telefone e e-mail, não devem ser mantidos sem necessidade. Mesmo que os dados de pagamento não sejam afetados, o uso indevido de dados de contato e localização prejudica seriamente a confiança dos usuários.

Se você encontrar uma correspondência neste registro, seu endereço de e-mail pode ter sido localizado entre os 3.465.259 endereços de e-mail únicos associados ao vazamento de dados da Dunzo. Uma correspondência não significa que sua senha, seu cartão de pagamento ou seu histórico de pedidos tenham vazado. Os campos verificados são informações sobre dispositivos, e-mail, localização geográfica, endereço IP, nome e número de telefone. O primeiro passo é avaliar com mais cuidado as mensagens sobre entregas enviadas para esse e-mail e número de telefone.

Não abra diretamente links enviados em nome da Dunzo ou de plataformas de entrega semelhantes; confira sua conta pelo canal oficial. Não compartilhe códigos de uso único, dados de cartão ou senhas em solicitações de pagamento, reembolso ou verificação de conta recebidas por telefone. A abordagem correta diante do vazamento de dados da Dunzo não é entrar em pânico por alegações não verificadas sobre senhas ou histórico de pedidos, mas reconhecer que dados de contato e localização podem ser usados em golpes direcionados e reforçar os cuidados de segurança com as mensagens.