Vazamento de dados de Eskimi

Quando o endereço de e-mail, o nome de usuário, a data de nascimento, o gênero e a localização geográfica de um registro antigo são analisados em conjunto, é possível formar uma visão relevante do perfil do usuário. No contexto da tecnologia de publicidade e da segmentação de usuários, esses campos podem ser usados para criar mensagens que parecem personalizadas. O campo de localização geográfica não representa necessariamente as coordenadas GPS exatas de cada usuário; ele também pode indicar uma região, uma cidade ou uma localização mais geral. Ainda assim, quando combinado com o e-mail e o nome de usuário, aumenta o risco à privacidade.

O campo de senha representa um dos riscos mais críticos. Um hash MD5 sem salt faz com que senhas iguais gerem o mesmo valor de hash, facilitando que invasores testem rapidamente listas de senhas comuns. A presença de um hash não significa necessariamente que a senha esteja exposta em texto puro; no entanto, senhas fracas ou reutilizadas têm maior probabilidade de serem quebradas. Se um usuário tiver usado a mesma senha no e-mail, nas redes sociais, em painéis de publicidade ou em outros serviços, esse vazamento pode levar a tentativas de tomada de controle de contas.

O escopo principal verificado deste registro é de 1.197.620 endereços de e-mail únicos. O conjunto de dados completo foi informado como tendo aproximadamente 26 milhões de registros. Esses dois números não devem ser confundidos: uma pessoa pode ter vários perfis ou linhas de eventos. A data do incidente consta como 25 de setembro de 2020; a inclusão do registro em sistemas de consulta de vazamentos em 2022 não significa que o vazamento tenha ocorrido em 2022.

As categorias de dados verificadas são data de nascimento, e-mail, gênero, localização geográfica, senha e nome de usuário. Número de telefone, endereço físico, cartão de pagamento, conta bancária, nome e sobrenome reais ou orçamento de campanha publicitária não estão entre as categorias de dados verificadas deste registro. Os dados de localização também não devem ser descritos como precisos ou sensíveis em todos os registros. Uma descrição adequada deve abordar em conjunto os campos de perfil e o risco das senhas protegidas por hashes fracos, respeitando esses limites.

O grupo de maior risco é formado por usuários que reutilizam a senha da conta Eskimi em outras contas. Se a mesma combinação de e-mail e senha for usada em uma conta de e-mail, nas redes sociais, em ferramentas de publicidade ou em contas profissionais, invasores podem tentar fazer logins automatizados. A data de nascimento e as informações de gênero podem ser usadas como contexto adicional na recuperação de contas ou em mensagens direcionadas.

Usuários ligados à tecnologia de publicidade, ao marketing e a contas de publishers também devem ter cautela. A localização geográfica e o nome de usuário podem ajudar a estimar em qual mercado ou região uma pessoa atua. Para quem se cadastrou com um endereço de e-mail corporativo, o risco pode se estender às contas de trabalho: alertas falsos de painéis de publicidade, notificações de orçamento, suspensões de campanhas ou mensagens de verificação de conta podem parecer mais convincentes.

Se o seu endereço de e-mail aparecer em um registro antigo, primeiro verifique se a senha usada nessa conta também foi usada em outras contas. Se você tiver usado a mesma senha ou uma semelhante no e-mail, em um painel de publicidade, nas redes sociais, em contas de trabalho ou em outros serviços, altere-a imediatamente. As novas senhas devem ser únicas, longas e aleatórias, e devem ser armazenadas em um gerenciador de senhas. Usar a senha antiga com pequenas alterações não oferece segurança suficiente.

Ative a verificação em duas etapas nas contas que oferecem essa proteção. Não clique diretamente em links de mensagens relacionadas a contas de publicidade, orçamentos de campanhas, notificações de pagamento, suspensão de conta ou verificação de segurança. Se precisar verificar a conta, digite manualmente o endereço do serviço correspondente no navegador. Verifique se há sessões desconhecidas na sua conta de e-mail e revise as regras de encaminhamento e as configurações de recuperação.

O incidente da Eskimi mostra que o vazamento de dados de perfil junto com informações de identificação de contas em plataformas AdTech representa um risco permanente. As organizações devem usar senhas únicas, autenticação multifator e acesso baseado em funções nas contas de publicidade e marketing. No armazenamento de senhas, não devem ser usados métodos ultrapassados, como MD5 sem salt; a preferência deve ser por algoritmos de hash modernos, com salt e lentos. Campos de perfil desnecessários também devem ser limitados por políticas de retenção de dados.

Para você, como usuário, uma estratégia de longo prazo é administrar contas profissionais e pessoais de publicidade e marketing com endereços de e-mail separados e nunca reutilizar senhas. Campos de perfil como localização geográfica, data de nascimento e gênero não devem ser compartilhados sem necessidade, pois são difíceis de alterar ou têm caráter pessoal. As equipes corporativas devem implementar autenticação forte e processos regulares de revisão de acesso nas contas dos funcionários em painéis de publicidade.

Se o seu endereço de e-mail aparecer neste registro, isso significa que ele corresponde a um dos 1.197.620 e-mails únicos no conjunto de dados de aproximadamente 26 milhões de linhas. Isso não significa que seu número de telefone, cartão de pagamento ou endereço físico tenham vazado; esses campos não fazem parte do escopo verificado. Por outro lado, a combinação de e-mail, nome de usuário, data de nascimento, gênero, contexto de localização e hash MD5 de senha sem salt representa um risco sério para a segurança da conta.

A medida correta é parar imediatamente de reutilizar senhas, ativar a autenticação de dois fatores nas contas importantes, verificar mensagens sobre publicidade ou segurança da conta pelos canais oficiais e revisar sua conta de e-mail. Vazamentos de dados anteriores mostraram que, quando dados de perfil e senhas protegidas por hashes fracos vazam juntos, os riscos de tomada de controle de contas e de phishing direcionado podem persistir por muito tempo.