eThekwini Municipality Vazamento de dados

As categorias de dados identificadas no registro de eThekwini Municipality devem ser consideradas como datas de nascimento, informações sobre datas de falecimento, endereços de e-mail, informações de gênero, números de identificação oficial, nomes e sobrenomes, números de passaporte, dados de senhas, números de telefone, endereços físicos e registros de cobrança. Datas de nascimento são dados pessoais persistentes que podem ser usados em perguntas de verificação de identidade, no direcionamento por faixa etária e no enriquecimento de perfis. Informações sobre datas de falecimento fornecem um contexto sensível que pode ser explorado em mensagens fraudulentas relacionadas à família e à herança. Endereços de e-mail podem ser usados em phishing direcionado, em situações de redefinição de senha e na associação de contas em diferentes serviços. Informações de gênero podem oferecer contexto adicional para personalização na extração de perfis e em mensagens direcionadas. Números de identificação oficial representam alto risco em processos de verificação de identidade, solicitações fraudulentas e golpes relacionados a transações oficiais. Nomes e sobrenomes tornam mais convincentes as mensagens falsas de suporte, entrega, cobrança e atendimento ao cliente. Números de passaporte são dados sensíveis que podem ser usados em fraudes relacionadas a viagens, vistos, verificação de identidade e transações oficiais. Dados de senhas aumentam diretamente o risco de tomada de controle da conta, especialmente se a mesma senha for reutilizada em outros serviços. Números de telefone permitem criar abordagens fraudulentas personalizadas por SMS, chamadas e aplicativos de mensagens. Endereços físicos podem ser usados em mensagens de engenharia social relacionadas a entregas, cobranças, assinaturas e serviços locais. Como os registros de faturas estão associados a informações de endereço, conta de serviço e domicílio, eles podem ser usados indevidamente em verificações de identidade e solicitações fraudulentas de pagamento.

Quando dados como identificação oficial, passaporte, fatura, endereço, número de telefone e data de nascimento aparecem juntos, os processos de verificação de identidade podem ser explorados de forma indevida. Dados de contas de serviços básicos dão mais credibilidade a mensagens falsas sobre pagamentos, débitos municipais ou atualização de conta, no contexto de comprovantes de endereço e contas de serviços.

Este registro está relacionado ao domínio eservices.durban.gov.za e ao incidente do eServices de setembro de 2016. O escopo inclui data de nascimento, data de falecimento, e-mail, gênero, identificação oficial, nome completo, passaporte, senha, telefone, endereço físico e registros de cobrança. Esse escopo não deve ser estendido a outros sistemas municipais nem à totalidade dos registros públicos.

Categorias ausentes deste registro não devem ser descritas como se tivessem vazado. Dados completos de cartões de pagamento, documentos oficiais de identificação, mensagens privadas, dados de saúde, informações bancárias, conteúdo de dispositivos ou dados de outras plataformas só devem ser incluídos na avaliação de risco se estiverem explicitamente presentes no registro. O texto se baseia em categorias de dados verificáveis e nos limites conhecidos do incidente.

Moradores que usam o eThekwini eServices, pessoas que acompanham suas faturas ou contas municipais por e-mail, usuários com informações de identificação oficial ou passaporte no sistema e pessoas que usam uma conta municipal como comprovante de endereço estão sob alto risco.

Usuários que utilizam o mesmo endereço de e-mail em diferentes serviços, reutilizam senhas antigas, mantêm os mesmos apelidos em várias comunidades ou não separam contas profissionais e pessoais correm maior risco. Nos registros de perfis e de corretores de dados, o risco decorre da combinação de informações de áreas muito diferentes a partir de uma única conta, criando um contexto detalhado sobre a pessoa.

Os usuários devem trocar a senha antiga do eServices e as senhas de todas as outras contas que usem a mesma senha. Mensagens sobre faturas municipais, débitos, verificação de endereço ou links de pagamento devem ser confirmadas apenas pelos canais oficiais; informações de identidade ou passaporte não devem ser compartilhadas.

Usuários com correspondência positiva devem trocar as senhas das contas em que usam senhas iguais ou semelhantes, ativar a autenticação de dois fatores quando possível e verificar suas sessões recentes. No caso de registros que não contêm senhas, mas incluem dados de contato, cobrança, endereço ou perfil, é preciso ficar atento a chamadas, ofertas e mensagens inesperadas de suporte, cobrança e verificação.

No longo prazo, adotar o uso de um gerenciador de senhas, senhas únicas e autenticação de dois fatores, além de remover informações pessoais desnecessárias das contas, reduz o risco. Reutilizar o mesmo endereço de e-mail em diferentes plataformas facilita a combinação de dados de diferentes vazamentos; uma opção é usar um e-mail separado ou um alias para contas críticas.

Para contas de serviços públicos, são importantes uma senha forte e única, a verificação em duas etapas e a conferência regular das faturas. Os usuários devem acompanhar as movimentações de crédito, bancárias e de contas de serviços públicos para identificar o uso indevido de informações de identificação oficial.

A consulta no LeakData indica se o endereço de e-mail pesquisado está presente neste registro. Um resultado positivo não significa necessariamente que todos os campos de dados pertençam, de fato, àquele usuário; ainda assim, é um alerta suficiente para tomar medidas de precaução. Um resultado negativo indica apenas que não há correspondência neste conjunto de dados e não elimina a possibilidade de o endereço aparecer em outros vazamentos.

Um resultado positivo indica que o endereço de e-mail está presente nos registros do eServices de eThekwini Municipality. Por envolver identificação oficial, cobrança e senha, esse resultado exige ações de segurança e proteção de identidade com alta prioridade.