Vazamento de dados da Engrenagem Virtual (2020)

Na avaliação de verificação, foram considerados o nome Engrenagem Virtual, o domínio engrenagemvirtual.com.br, o período de julho de 2020, um volume de mais de 430 mil registros e a presença de informações de hash de senhas no formato SHA-256 com salt, junto a campos de perfil pessoal. Alegações de maior gravidade, como a presença de CPF ou de um campo de identificação oficial, não tinham respaldo consistente e, por isso, não foram incluídas no registro. O registro foi mantido como um incidente de segurança de contas e de dados de perfil pessoal, sem acrescentar alegações não fundamentadas sobre dados financeiros ou documentos oficiais.

O vazamento de dados da Virtual Gear gera riscos para os usuários, incluindo tomada de controle de contas, phishing com temas de educação e marketing e engenharia social direcionada. Ao combinar campos de e-mail, nome, número de telefone, data de nascimento, gênero e estado civil, invasores podem adaptar mensagens a cada pessoa, abordando treinamentos, desenvolvimento de negócios, assinaturas, certificações ou campanhas. Como há um campo de hash de senha, também existe o risco de senhas iguais ou fracas serem testadas em outros serviços. Portanto, o incidente não deve ser tratado como uma simples lista de contatos.

Neste incidente, as categorias de dados visíveis são relevantes para a segurança das contas e dos perfis pessoais. A data de nascimento pode ser usada indevidamente em verificações feitas pelo suporte. O número de telefone facilita abordagens direcionadas por SMS e ligações. Campos de perfil, como estado civil e gênero, podem ser usados para personalizar mensagens. As informações de hash de senhas em SHA-256 com salt não eliminam completamente o risco de tentativas de descobrir senhas fracas ou reutilizadas por meio de testes off-line.

Pessoas que têm uma conta na Virtual Gear ou usam o mesmo endereço de e-mail devem redefinir a senha dessa conta e das demais contas em que a mesma senha é usada. A verificação deve começar pelas contas de e-mail, plataformas de educação, redes sociais, compras, pagamentos e trabalho. A autenticação multifator deve ser ativada sempre que possível, sessões antigas devem ser encerradas e alertas de login inesperados devem ser analisados. Links de certificados, cursos, assinaturas ou campanhas devem ser verificados diretamente por canais oficiais conhecidos.

Para as instituições, o vazamento de dados da Engrenagem Virtual mostra que a proteção dos dados de perfil e a segurança das senhas devem ser tratadas em conjunto nas plataformas de educação e marketing digital. As equipes de suporte não devem fazer alterações em contas com base apenas em nome, número de telefone ou data de nascimento. Ações como alteração de e-mail, recuperação de conta, atualização de assinatura e acesso a certificados exigem verificação adicional. As instituições devem explicar claramente aos usuários como identificar convites falsos para treinamentos ou mensagens falsas de campanhas e incentivá-los a deixar de usar senhas antigas.

No registro do vazamento de dados da Virtual Gear, o escopo ficou limitado aos campos com respaldo nas evidências. O total foi mantido em 430.936 registros; não foi acrescentada nenhuma alegação de presença de documentos oficiais de identificação, cartões de pagamento ou contas bancárias. As categorias de dados se limitam a e-mail, nome, telefone, data de nascimento, campos de perfil e informações de hash de senhas. Ainda assim, a combinação de dados de perfil pessoal e campos de hash de senhas representa um risco crítico para a segurança das contas. Se a mesma senha for usada em outras contas, o impacto pode não se restringir à plataforma em questão.

O nível geral de risco foi avaliado como crítico porque o vazamento de dados da Engrenagem Virtual combina campos de perfil pessoal com riscos associados a números de telefone e hashes de senhas. As medidas mais práticas para usuários que buscam informações sobre o vazamento de dados da Engrenagem Virtual são redefinir senhas, evitar reutilizar a mesma senha, ativar verificações adicionais no e-mail e em contas importantes, verificar de forma independente os links de treinamentos e campanhas e não confiar em mensagens só porque contêm informações pessoais corretas. O registro foi elaborado para explicar o impacto real sobre a segurança das contas, sem acrescentar tipos de dados sem respaldo nas evidências.