Vazamento de dados de E-Pal

Quando o endereço de e-mail e o nome de usuário aparecem juntos no cadastro da E-Pal, um invasor pode tentar associar o usuário a diferentes perfis em plataformas de jogos e redes sociais. Já os registros de compras podem ser usados em ataques de engenharia social para entender como uma pessoa utiliza os serviços da plataforma, o contexto do seu histórico de pedidos ou os tipos de serviços pelos quais pagou. Esses campos, por si só, não representam informações de cartões de pagamento; no entanto, podem tornar mais convincentes mensagens falsas sobre reembolsos, verificação de pedidos ou suporte.

Como não foi verificado um vazamento de senhas neste registro, o risco de quebra direta de credenciais é limitado. Ainda assim, a combinação de e-mail e nome de usuário pode servir como ponto de partida para tentativas de tomada de contas. Se o nome de usuário for reutilizado em diferentes comunidades de jogos ou contas de redes sociais, o risco de associação entre perfis aumenta. O contexto das compras também permite que o invasor prepare faturas, solicitações de suporte ou mensagens de verificação de conta falsas que pareçam personalizadas para o usuário.

O escopo principal verificado deste registro abrange 108.887 endereços de e-mail únicos. O total aproximado de 1 milhão de registros de compras ou pedidos corresponde à quantidade de linhas do conjunto de dados; esse número não deve ser interpretado como a quantidade de pessoas distintas. Um mesmo usuário pode ter realizado várias transações. Portanto, a explicação correta para o usuário deve apresentar separadamente o número de e-mails únicos e o número de registros de transações.

As categorias de dados verificadas são endereços de e-mail, nomes de usuário e registros de compras. Senhas, endereços IP, números de telefone, endereços físicos, cartões de pagamento, contas bancárias, nomes reais, mensagens privadas e saldos de contas não devem ser acrescentados ao escopo verificado deste registro. A presença de dados de compras não implica que informações de cartões de pagamento ou dados bancários tenham vazado. O escopo correto se limita a identificadores de contas de usuários e ao contexto das transações dentro da plataforma.

O grupo de maior risco é formado por pessoas que compraram serviços na E-Pal ou criaram um perfil visível com um nome de usuário. Esses usuários podem ser alvo de confirmações de pedidos, notificações de devolução, solicitações de suporte, alertas sobre assinaturas ou links de verificação de conta falsos. Quando o endereço de e-mail e o nome de usuário são usados em conjunto, a mensagem pode parecer baseada no histórico real da pessoa na plataforma.

O risco de associação entre perfis é maior para quem reutiliza o mesmo nome de usuário em jogos e comunidades sociais. Se o mesmo nome de usuário estiver presente em diferentes plataformas, invasores podem tentar deduzir as preferências de jogos, as conexões sociais ou o uso de serviços da pessoa. Para usuários cadastrados com um endereço de e-mail corporativo, o risco pode se manifestar em mensagens de phishing direcionadas, que partem do contexto da conta pessoal em redes sociais ou jogos e chegam ao e-mail de trabalho.

Se o seu endereço de e-mail aparecer em um registro da E-Pal, analise com atenção as mensagens sobre pedidos, devoluções, suporte, verificação de conta ou campanhas na sua caixa de entrada. Em vez de clicar no link da mensagem, acesse a conta correspondente diretamente pelo endereço oficial. Embora este registro não confirme um vazamento de senhas, ativar a autenticação de dois fatores em outras contas que usam o mesmo e-mail e nome de usuário e verificar se você reutiliza senhas são precauções adequadas.

Por causa do contexto do histórico de compras, mensagens falsas de devolução ou verificação de pagamento podem parecer mais convincentes. Como a exposição de informações de cartões não foi verificada neste registro, em vez de entrar em pânico, confirme as solicitações de pagamento pelos canais oficiais. Verifique as configurações de privacidade das contas de jogos, redes sociais e comunidades nas quais você usa o mesmo nome de usuário. Reduzir a visibilidade do seu nome de usuário em contas que você não usa ou encerrar essas contas diminui o risco.

O incidente da E-Pal mostra que registros de compras podem deixar um usuário suscetível a ataques direcionados de engenharia social, mesmo sem incluir dados de cartões de pagamento. As plataformas não devem armazenar dados de transações por mais tempo do que o necessário, devem minimizar os identificadores de usuários e monitorar rigorosamente o acesso aos históricos de compras. Para os usuários, utilizar aliases de e-mail separados para diferentes serviços sociais e de jogos dificulta a associação entre perfis.

No longo prazo, os usuários devem gerenciar suas contas de jogos, redes sociais, marketplaces e serviços de pagamento com senhas diferentes. Mesmo que senhas não sejam uma categoria de dados verificada neste registro, o vazamento do endereço de e-mail pode aumentar as tentativas direcionadas de acesso. A autenticação de dois fatores, o uso de senhas exclusivas, a redução da reutilização de nomes de usuário e o hábito de verificar mensagens suspeitas sobre transações pelos canais oficiais limitam o impacto de registros desse tipo.

Se o seu endereço de e-mail aparecer neste registro, não conclua que os dados do seu cartão de pagamento ou a sua senha vazaram; esses campos não fazem parte do escopo verificado. No entanto, seu endereço de e-mail, nome de usuário e contexto de compras podem estar presentes em um conjunto de dados. Essa combinação pode ser usada em mensagens falsas de suporte, reembolso, verificação de pedidos ou promoções.

A conduta adequada é evitar links suspeitos, verificar diretamente as contas da E-Pal e as contas relacionadas de redes sociais ou jogos, revisar as configurações de privacidade das contas nas quais você usa o mesmo nome de usuário e ativar a autenticação de dois fatores nas contas importantes. O vazamento de dados da E-Pal mostra que até registros sem senhas podem criar riscos de engenharia social e de privacidade dos perfis quando combinados com o contexto do histórico de compras.