Vazamento de dados de Eatigo

Os endereços de e-mail, números de telefone, nomes e sobrenomes presentes no registro da Eatigo facilitam o contato direto com o usuário. No contexto de reservas em restaurantes, essas informações tornam mais convincentes abordagens de engenharia social, como falsas confirmações de reserva, avisos de cancelamento, cupons de desconto, verificações de conta ou mensagens de atendimento ao cliente. Com a inclusão de informações de gênero e perfis de redes sociais, o invasor pode enviar mensagens ainda mais personalizadas à pessoa visada.

O campo de senha representa um dos riscos mais críticos. O hash MD5 sem salt é mais fraco do que os métodos modernos de armazenamento de senhas reforçados com um valor de salt exclusivo. Isso não significa que todas as senhas possam ser quebradas instantaneamente, mas o risco aumenta significativamente no caso de senhas presentes em listas de senhas comuns e de senhas reutilizadas. Quando combinado com um número de telefone, o risco associado à senha pode potencializar não apenas o phishing por e-mail, mas também golpes por chamadas e SMS.

O escopo principal verificado para este registro é de 2.789.609 contas. O contexto técnico do incidente está relacionado a um banco de dados antigo que não foi devidamente mantido no inventário após uma transição de plataforma e permaneceu acessível pela internet. Embora a venda dos dados tenha sido percebida em 2020, a última atualização do banco de dados e o contexto do incidente apontam para o período de 2018. Portanto, a data do vazamento não deve ser confundida com a data em que ele se tornou público.

As classes de dados verificadas são endereços de e-mail, informações de gênero, nomes, senhas, números de telefone e perfis de redes sociais. Informações de cartões de pagamento não fazem parte do escopo verificado deste incidente; declarações da empresa indicaram que informações de cartões de crédito não são armazenadas no sistema. Embora diferentes fontes apresentem declarações mais detalhadas sobre campos vinculados a redes sociais, neste registro a classe de dados deve ser mantida como perfis de redes sociais. Assim, o risco fica visível sem que campos adicionais não verificados sejam apresentados ao usuário como informações definitivas.

O grupo de maior risco é formado por pessoas que também usam a senha da conta Eatigo em outros serviços. Se a mesma combinação de e-mail e senha for repetida em contas de redes sociais, e-mail, entrega de comida, compras ou programas de fidelidade, o risco de um registro antigo de reserva em restaurante pode se estender a outras contas. O número de telefone, o nome e o sobrenome também podem ajudar um invasor a entrar em contato diretamente com o usuário para iniciar um falso procedimento de segurança ou de reserva.

Usuários que fazem reservas em restaurantes em Singapura, Hong Kong, Tailândia e na região também podem ser alvo de campanhas locais e de mensagens que usam a linguagem de reservas. Se uma pessoa vinculou a conta Eatigo ao seu perfil de rede social, um invasor pode coletar mais informações de contexto nesse perfil para personalizar a mensagem. Para usuários cadastrados com um endereço de e-mail corporativo, o risco pode se estender à conta de trabalho; mensagens enviadas sob o pretexto de reservas em restaurantes ou eventos podem se transformar em tentativas de phishing direcionadas a funcionários.

Se o seu endereço de e-mail aparece no registro da Eatigo, o primeiro passo é garantir que a senha usada na conta Eatigo não seja usada em nenhuma outra conta. Se você usou a mesma senha ou uma senha semelhante, altere imediatamente as senhas das contas de e-mail, redes sociais, entrega de comida, compras e das contas vinculadas a pagamentos. As novas senhas devem ser exclusivas e armazenadas em um gerenciador de senhas. Apenas acrescentar um número ao final da senha antiga não é suficiente.

Tenha cuidado com mensagens de texto e chamadas, pois seu número de telefone, nome e sobrenome também podem ter sido vazados. Não clique diretamente em links enviados sob o pretexto de cancelamento de reserva, descontos em restaurantes, verificação de conta ou checagens de segurança. Se precisar acessar sua conta, digite o endereço manualmente no navegador ou use o aplicativo oficial. Ative a autenticação de dois fatores nas contas que oferecem essa proteção e verifique se há sessões desconhecidas na sua conta de e-mail.

O incidente da Eatigo mostra que bancos de dados antigos e sistemas deixados para trás durante transições de plataforma podem representar riscos graves. As organizações devem manter o inventário de dados atualizado, desativar bancos de dados que não são mais usados e isolar ambientes de backup e legados com controles de acesso. No armazenamento de senhas, métodos antigos como MD5 sem salt não devem ser usados; devem ser priorizados algoritmos de hash fortes, com salt e lentos. Dados pessoais devem ser armazenados apenas pelo período necessário, e registros antigos devem ser eliminados regularmente.

Para você, a estratégia de longo prazo é nunca reutilizar senhas, não compartilhar números de telefone em contas desnecessárias e limitar as conexões com redes sociais. Se as contas de restaurantes, viagens, compras e entregas forem gerenciadas com endereços de e-mail separados, será mais difícil associar um vazamento em um serviço a outros perfis. As organizações também devem reduzir o uso do e-mail de trabalho pelos funcionários em serviços pessoais e combinar verificações de senhas vazadas com ações de conscientização sobre phishing.

Se o seu endereço de e-mail aparece neste registro, verifique não apenas sua conta Eatigo, mas também quaisquer outras contas que você usava no mesmo período com a mesma senha ou o mesmo número de telefone. Mesmo que a senha esteja armazenada em formato de hash, usá-la em outros serviços representa um risco grave devido à fragilidade do MD5 sem salt. A combinação de número de telefone e perfil de rede social pode ser usada em falsas mensagens de suporte ou em tentativas personalizadas de phishing.

A medida correta é usar uma senha exclusiva, ativar a verificação em duas etapas nas contas importantes e não agir com base em mensagens suspeitas sobre reservas ou segurança sem antes verificá-las. É importante lembrar que informações de cartões de pagamento não foram verificadas neste registro; ainda assim, a combinação de e-mail, telefone, nome, perfil de rede social e senha armazenada com hash fraco já é grave por si só. Essas medidas reduzem o risco de que os efeitos do vazamento de dados da Eatigo se estendam a outras contas e à segurança atual da sua identidade.