Vazamento de dados de Exactis

Os registros da Exactis incluem campos que permitem a identificação direta, como endereços de e-mail, nomes completos, números de telefone, endereços físicos, endereços IP e datas de nascimento. Também são listados dados de perfil, como situação de crédito, nível de escolaridade, origem étnica, situação familiar, interesses em investimentos financeiros, gênero, condição de proprietário de imóvel, nível de renda, estado civil, faixa de patrimônio líquido, profissão, interesses pessoais, religião e idiomas falados. Essa combinação poderia permitir que criminosos elaborassem golpes personalizados, mensagens direcionadas, ligações de falsas centrais de atendimento ou abordagens de phishing sem precisar de uma única senha.

O aspecto mais crítico desse vazamento é a combinação de informações que, isoladamente, podem parecer limitadas. Um endereço de e-mail, um número de telefone e um endereço físico facilitam o contato com uma pessoa; informações sobre renda, núcleo familiar e interesses indicam quais promessas ou táticas de pressão poderiam ser mais persuasivas. Por isso, a exposição de dados da Exactis aumenta os riscos de engenharia social, uso abusivo de anúncios direcionados, fraude e discriminação baseada em perfis mais do que o risco de tomada de controle de contas.

Para o escopo verificado, deve-se considerar 131.577.763 contas únicas. Esse número é mantido separado das alegações sobre o conjunto maior de dados brutos e é o valor usado na tela de consulta do usuário. A data do vazamento está definida como 01/06/2018, e as datas de inclusão e última alteração estão definidas como 25/07/2018. O domínio da Exactis é mantido como exactis.com, a empresa é dos Estados Unidos e seu setor é classificado como comercialização de dados e dados de marketing.

No caso da Exactis, campos como senhas, cartões de pagamento, contas bancárias ou números de seguridade social não estão entre as categorias de dados verificadas. Isso, porém, não significa que o risco seja baixo. A combinação de campos de perfil, como situação de crédito, renda, endereço, família e crenças, pode tornar a pessoa mais vulnerável a ataques envolvendo perguntas de segurança, golpes direcionados e correspondências institucionais falsas. Por isso, considerando o nível de risco, o número de registros e a profundidade dos perfis, a classificação foi mantida no nível Crítico.

O grupo com maior probabilidade de ser afetado por esse incidente é o de pessoas incluídas em perfis de consumidores ou listas de marketing dos Estados Unidos. Mesmo que você nunca tenha usado a Exactis, é possível que seu nome, e-mail ou endereço tenha sido coletado de listas de terceiros, devido ao modelo de comercialização de dados. Portanto, o risco não depende da existência de uma conta de usuário no sentido tradicional.

Quem interage com frequência com campanhas de vendas, imóveis, finanças, saúde, educação ou doações pode se tornar um alvo mais visível. Da mesma forma, pessoas que usam o mesmo número de telefone e endereço de e-mail há muito tempo ainda podem ter dados antigos de seus perfis usados em tentativas de fraude. Informações como estado civil, profissão, renda e interesses podem ajudar um criminoso a fazer uma mensagem parecer pessoal e convincente. Isso exige cuidado redobrado com solicitações recebidas por ligações, mensagens de texto e e-mails.

Como não há senhas entre as categorias de dados verificadas no registro da Exactis, a primeira providência não deve se limitar à troca de senha. A prioridade deve ser examinar com mais rigor as solicitações inesperadas enviadas ao seu e-mail, telefone e endereço físico. Antes de clicar em qualquer link de mensagens que usem como pretexto assuntos financeiros, entregas, órgãos públicos, seguros, escolas, campanhas beneficentes ou renovações de assinatura, é necessário verificar a solicitação pelo canal oficial de comunicação da instituição.

Use uma senha forte e exclusiva na conta de e-mail e ative a autenticação multifator sempre que possível. Na conta da operadora de telefonia, configure um PIN ou uma senha de segurança adicional para trocas de SIM, portabilidade do número e operações realizadas pelo atendimento ao cliente. Como os dados da Exactis incluem endereços e telefones, não forneça informações diretamente em resposta a falsas entregas, notificações de dívida, ofertas de investimento ou ligações de pesquisa. Avalie com cautela formulários que peçam data de nascimento, renda e informações familiares.

Em casos de exposição de dados por empresas desse tipo, a estratégia de longo prazo deve se concentrar em dificultar a reutilização do perfil pessoal, em vez de apenas proteger novamente uma única conta. Você pode optar por usar endereços de e-mail separados para finanças, compras, redes sociais e boletins informativos, em vez de usar o mesmo endereço em todos os serviços. Se um serviço for usado apenas para uma campanha ou um período de teste, utilizar um endereço separado, em vez do e-mail principal permanente, reduz o risco de associações futuras entre dados.

Revise relatórios de crédito e transações financeiras regularmente e ative serviços que enviem notificações sobre a abertura de novas contas ou consultas suspeitas. Você pode avaliar os formulários oficiais de solicitação de remoção das listas de empresas que comercializam dados, mas é importante lembrar que esses processos nem sempre produzem resultados permanentes. A defesa mais sólida é evitar decisões precipitadas diante de contatos inesperados, não inserir informações do seu perfil pessoal em formulários desnecessários e usar verificações adicionais em contas de alto valor.

Se você aparecer nos resultados da Exactis no LeakData, trate esse registro como uma exposição detalhada de perfil, e não como um vazamento de senhas. A presença conjunta de endereços de e-mail, números de telefone, endereços físicos e dados demográficos pode facilitar tentativas de criar mensagens de phishing convincentes, fazer ligações personalizadas e adivinhar respostas a perguntas de segurança. Por isso, ao ver um alerta, revise todas as contas importantes que usam o mesmo e-mail e telefone, em vez de verificar apenas o site relacionado.

Após a consulta, as medidas mais adequadas são reforçar a proteção da conta de e-mail, ativar a autenticação multifator, adicionar um código de segurança extra à conta da operadora de telefonia, monitorar transações financeiras e evitar links inesperados. Também devem ser examinadas cartas com aparência oficial enviadas ao endereço físico, solicitações de códigos de verificação por telefone e pesquisas que peçam dados pessoais. Um registro da Exactis deve ser considerado um vazamento de alto impacto, pois indica que os canais de contato digitais e físicos de uma pessoa podem ser usados para abordá-la, mesmo que os dados de autenticação não tenham vazado.