Vazamento de dados de EatStreet

A combinação de dados no registro da EatStreet cria riscos em várias camadas. Quando um endereço de e-mail, um número de telefone, um nome completo e um endereço físico aparecem juntos, um invasor pode entrar em contato diretamente com o usuário e enviar mensagens falsas sobre entregas, pedidos, devoluções ou verificação de cartão. A data de nascimento e as informações de gênero fornecem contexto adicional que pode ser usado indevidamente em processos de recuperação de conta ou em perguntas de autenticação. Já os perfis em redes sociais podem ajudar a associar a pessoa às suas outras contas na internet.

Mesmo que o campo de senha esteja no formato de hash bcrypt, o risco permanece. Bcrypt é um algoritmo de hash moderno e lento, mas senhas fracas ou reutilizadas ainda podem ser alvo de invasores. Dados parciais de cartões de crédito podem não representar um risco financeiro tão claro quanto os dados completos do cartão; no entanto, quando combinados com os últimos dígitos do cartão, o endereço de cobrança ou o número de telefone, podem tornar mais convincentes as ligações de falsos representantes de bancos e as fraudes de verificação de pagamento. No caso dos parceiros, também deve ser considerado o risco relacionado às informações de conta bancária e de roteamento bancário.

O escopo principal verificado deste registro é de 6.353.564 contas. A data do incidente está registrada como 3 de maio de 2019; segundo os relatos, o acesso não autorizado foi detectado e interrompido em 17 de maio de 2019. As categorias de dados são amplas, mas não se deve presumir que todos os campos estejam presentes para todos os usuários. Os registros de clientes, restaurantes parceiros e parceiros de entrega podem conter campos diferentes. Portanto, a descrição não deve fazer afirmações categóricas que deem a entender que os dados de contas bancárias ou os números completos de cartões de todos os usuários foram vazados.

As principais categorias de dados verificadas no âmbito da consulta pública incluem data de nascimento, e-mail, gênero, nome, dados parciais de cartão de crédito, senha, telefone, endereço físico e perfil em rede social. Nas notificações aos parceiros, aparecem campos como nome do serviço de entrega, nome do parceiro, e-mail, telefone e informações bancárias e de roteamento bancário; esses campos devem ser avaliados individualmente para cada parceiro. No caso dos clientes, os dados parciais do cartão e o contexto de cobrança e entrega aumentam o risco de engenharia social. Essa distinção é importante para que sejam tomadas as precauções adequadas sem alarmar o usuário desnecessariamente.

O grupo de maior risco é formado por clientes que fazem pedidos pela EatStreet e reutilizam a mesma senha em outras contas. E-mail, telefone, endereço e contexto do pedido permitem que o invasor prepare mensagens sobre entregas ou pagamentos que pareçam autênticas. Se os dados parciais do cartão também estiverem presentes, o usuário pode ser convencido com mais facilidade em ligações de falsos representantes de bancos ou de verificação de cartão. As datas de nascimento podem facilitar a descoberta de respostas a perguntas de verificação pouco seguras usadas em processos de recuperação de conta.

Restaurantes e parceiros de entrega também correm alto risco. Como as notificações aos parceiros contêm campos financeiros, como números de contas bancárias e de roteamento bancário, as precauções desse grupo não devem se limitar à segurança de senhas ou e-mails. É necessário monitorar pagamentos em contas empresariais, transações bancárias e tentativas de transferência de dinheiro não autorizadas. Funcionários de restaurantes ou proprietários de empresas que se cadastram com um endereço de e-mail corporativo podem ser alvo de faturas falsas, atualizações de pagamento e mensagens que se passam pelo suporte da plataforma.

Se você usou a senha da conta EatStreet em outra conta, troque-a imediatamente. Embora o uso de um hash Bcrypt seja uma boa proteção técnica, ele não torna seguras as senhas reutilizadas. Use senhas exclusivas em contas de e-mail, redes sociais, entrega de comida, compras e contas vinculadas a pagamentos, e ative a autenticação de dois fatores. Evite também bases iguais ou semelhantes para as senhas; invasores podem testar variações a partir de pistas de senhas vazadas.

Clientes devem acompanhar com atenção as transações do cartão, mensagens suspeitas sobre entregas e solicitações de verificação de conta. Vale a pena ativar os alertas de transações suspeitas oferecidos pelo emissor do cartão. Como informações de endereço e telefone podem ter sido vazadas, é necessário prestar atenção não apenas aos e-mails, mas também às mensagens de texto e ligações. Restaurantes e parceiros de entrega devem verificar as transações das contas bancárias, conferir se houve mudanças inesperadas nas instruções de pagamento e revisar os usuários autorizados nas contas empresariais.

O incidente da EatStreet demonstra que os dados dos clientes e os dados financeiros dos parceiros devem ser protegidos dentro da mesma estrutura de segurança nos ecossistemas de pedidos e entrega de comida. As organizações devem monitorar de perto o acesso aos bancos de dados, não reter campos desnecessários, excluir regularmente registros antigos e, sempre que possível, limitar os dados de cartão a tokens ou aos últimos dígitos. Métodos robustos, como bcrypt, devem ser usados para armazenar senhas, mas também é necessário implementar uma política de senhas forte e autenticação multifator.

Para o usuário, uma abordagem de longo prazo é manter senhas exclusivas para contas de pedidos de comida, compras e pagamentos, sem compartilhar informações de perfil desnecessariamente. Dados como endereço, número de telefone e data de nascimento são difíceis de alterar; por isso, uma vez vazados, podem ser usados por muito tempo em fraudes direcionadas. Empresas e parceiros devem reforçar os processos de acesso baseado em funções, aprovação de transações e monitoramento de movimentações bancárias nas plataformas que contêm informações de contas financeiras.

Se o seu endereço de e-mail aparecer neste registro, verifique não apenas a sua conta EatStreet, mas também todas as contas que usam a mesma senha. Desconfie de pedidos de comida, entregas e devoluções suspeitos, assim como de mensagens de verificação bancária ou de cartão. Dados parciais de cartões de crédito e informações de endereço podem tornar convincentes as conversas com falsos atendentes. Se você identificar uma transação desconhecida no seu cartão, entre em contato diretamente com o emissor e não clique em links da mensagem.

Se você representa um restaurante ou atua como parceiro de entrega, revise também as transações das contas financeiras e as configurações de pagamento. As notificações que contêm informações de conta bancária ou de roteamento bancário se referem aos parceiros; portanto, é importante verificar se houve alterações não autorizadas nas contas empresariais. O vazamento de dados da EatStreet mostra que a combinação de dados de perfil de clientes, dados financeiros parciais e hashes de senhas pode gerar riscos de longo prazo relacionados à engenharia social e à segurança da conta.