Vazamento de dados de Elanic

Neste caso, a análise conjunta do endereço de e-mail, do nome de usuário e das informações de localização geográfica permite formar um panorama relevante do perfil do usuário. O endereço de e-mail oferece um canal direto para entrar em contato com a pessoa; o nome de usuário pode corresponder aos pseudônimos que ela utiliza em diferentes contas de moda, compras, redes sociais ou comunidades. Já as informações de localização geográfica podem permitir que o invasor use o contexto da cidade, da região ou do mercado para tornar a mensagem mais convincente.

Como o vazamento de senhas não foi confirmado, este registro não deve ser apresentado diretamente como um incidente de roubo de identidade. Ainda assim, a combinação de e-mail e nome de usuário é um ponto de partida suficiente para phishing e golpes de recuperação de conta. Pelo contexto da plataforma de moda, mensagens falsas sobre pedidos, devoluções, entregas, atualizações de conta, cupons ou verificação de vendedores podem parecer mais convincentes. Se forem acrescentadas expressões relacionadas à localização real do usuário, a mensagem pode parecer ainda mais confiável.

Para a Elanic, o escopo confirmado é de 2.325.283 endereços de e-mail únicos. Como o total informado é de aproximadamente 2,8 milhões de linhas, a quantidade de linhas não deve ser confundida com o número de usuários únicos afetados. Este registro deve ser entendido no contexto da exposição de dados de um antigo servidor de testes ou da obtenção desses dados por pessoas não autorizadas. O incidente se tornou público em janeiro de 2020; no entanto, a antiguidade dos dados aponta para o período de 2016-2018.

As categorias de dados confirmadas são endereços de e-mail, localizações geográficas e nomes de usuário. Número de telefone, link de rede social, cartão de pagamento, senha, endereço físico, mensagem privada ou documento de identidade não devem ser tratados como campos confirmados neste registro. Algumas avaliações secundárias podem alegar a presença de um conjunto mais amplo de campos; no entanto, neste registro exibido ao usuário, as principais categorias de dados devem permanecer limitadas. Assim, o risco é comunicado com precisão, sem induzir o usuário ao erro com alegações não confirmadas sobre dados pessoais.

O grupo de maior risco inclui usuários que fazem compras na Elanic, vendem produtos ou vincularam informações de localização ao perfil. Essas pessoas podem ser alvo de mensagens de falsos compradores ou vendedores, solicitações de devolução, atualizações de entrega ou verificações de conta. Quando o endereço de e-mail e o nome de usuário são encontrados juntos, o invasor pode investigar se a pessoa utiliza o mesmo nome de usuário em outras plataformas de compra e venda ou contas de redes sociais.

O contexto de localização é importante para usuários que têm uma conta para compras de moda antiga e de segunda mão voltadas ao mercado indiano. Mensagens com expressões regionais, nomes de cidades ou termos usados em entregas locais podem se tornar mais convincentes. Para usuários cadastrados com um endereço de e-mail corporativo, o risco pode se manifestar em mensagens direcionadas que passam do contexto de uma conta pessoal de compras para o de uma conta profissional. Por isso, os usuários devem revisar não apenas a conta da Elanic, mas também outras contas abertas com o mesmo e-mail e nome de usuário.

Se seu endereço de e-mail aparece no registro da Elanic, o primeiro passo é ter cautela com mensagens recebidas nesse endereço sobre a plataforma de moda, entregas, devoluções, cupons e verificação de conta. Em vez de clicar no link da mensagem, é mais seguro fazer a verificação digitando manualmente no navegador o endereço do site da conta em questão. Mesmo que um vazamento de senhas não tenha sido confirmado neste registro, se as senhas antigas utilizadas no mesmo período forem fracas ou reutilizadas, é recomendável atualizar as senhas das contas importantes.

Verifique se há acessos desconhecidos, regras de encaminhamento e endereços de recuperação na sua conta de e-mail. Se você usou o mesmo nome de usuário em outras plataformas de compra e venda, contas de redes sociais ou fóruns, revise as configurações de privacidade e segurança dessas contas. Ative a autenticação de dois fatores nos serviços que oferecem essa proteção. Para reduzir o uso indevido de informações de localização, não compartilhe detalhes desnecessários sobre cidade, bairro ou área de entrega em perfis públicos.

O incidente da Elanic mostra que ambientes de testes e ambientes com dados antigos precisam ser protegidos com o mesmo cuidado que os dados de produção. As organizações não devem manter dados reais de usuários em servidores de testes e, caso isso seja necessário, devem aplicar mascaramento e restrições de acesso. O fato de os dados antigos estarem separados do sistema atual não significa que o risco para o usuário tenha acabado. Endereços de e-mail, nomes de usuário e informações de localização podem permanecer inalterados por muito tempo e ser usados em mensagens direcionadas mesmo anos depois.

Para o usuário, a solução de longo prazo é separar os endereços de e-mail por finalidade, usar nomes de usuário exclusivos para contas de compras e plataformas de compra e venda e reduzir as informações desnecessárias nos perfis. Já as equipes corporativas devem reduzir o uso de e-mails de trabalho pelos funcionários em contas pessoais de plataformas de compra e venda e avaliar os indícios de vazamento de e-mails em conjunto com a conscientização sobre phishing e as políticas de autenticação multifator. Essa abordagem reduz o impacto da engenharia social até mesmo em vazamentos que não contêm senhas.

A presença do seu endereço de e-mail neste registro não significa que sua senha ou seu cartão de pagamento tenha sido vazado. No entanto, ela indica que seu endereço de e-mail, nome de usuário e contexto de localização podem ter sido incluídos em um conjunto de dados. Por isso, você deve ter mais cautela com alertas falsos de compras, entregas, devoluções ou contas na sua caixa de entrada. Se você não usa mais sua antiga conta da Elanic, considere as opções de encerrá-la ou restringir o acesso.

A conduta adequada é agir sem exagerar o risco, mas também sem subestimar os dados de perfil. Verifique a segurança do seu e-mail, revise as contas que usam o mesmo nome de usuário, ative a autenticação de dois fatores nas contas importantes e evite links suspeitos. O vazamento de dados da Elanic é um exemplo de como registros sem senhas também podem afetar os usuários por meio de fraudes direcionadas e da correlação de perfis.