Vazamento de dados de Exvagos

Os tipos de dados confirmados neste registro são endereço de e-mail, nome de usuário, endereço IP, data de nascimento e informações de senha. Quando o endereço de e-mail e o nome de usuário aparecem juntos, fica mais fácil associar a pessoa a diferentes fóruns, sites de download, redes sociais ou contas de e-mail. O endereço IP não informa a localização exata; no entanto, pode fornecer indícios limitados sobre a região aproximada, o provedor de serviços ou o contexto de uma sessão anterior. A data de nascimento fornece informações pessoais adicionais que podem ser usadas indevidamente em situações que envolvem senhas, PIN, perguntas de segurança e autenticação.

O armazenamento das senhas como hashes MD5 é o aspecto mais crítico deste registro. Como o MD5 é um algoritmo antigo que permite cálculos rápidos, invasores podem tentar quebrar com mais facilidade senhas fracas, curtas, baseadas em palavras de dicionário ou reutilizadas em outras contas. Mesmo que a senha não esteja escrita em texto simples, armazenar seu hash com proteção fraca cria um risco real. Portanto, se a senha da conta do Exvagos foi usada em qualquer outra conta, não apenas a conta do Exvagos, mas todas as contas que compartilham a mesma senha devem ser consideradas em risco.

O número confirmado de contas neste registro é 2.121.789, e a data do incidente está registrada como 21 de julho de 2022. Os dados foram posteriormente redistribuídos em um conjunto de dados maior; no entanto, isso não significa que o número de contas no registro do Exvagos seja maior. Alguns índices secundários podem apresentar totais ou contagens de contas únicas diferentes. Na divulgação pública, deve-se usar o número de referência de 2.121.789, e os números divergentes de fontes secundárias não devem ser apresentados como a contagem definitivamente confirmada de vítimas.

As categorias de dados confirmadas se limitam a data de nascimento, endereço de e-mail, endereço IP, senha e nome de usuário. Não se devem acrescentar a este registro campos além dessas cinco categorias confirmadas. Também não é correto fazer suposições sobre o tipo de conteúdo da plataforma ou os hábitos de download dos usuários; o registro deve ser avaliado apenas em termos de segurança de contas e perfis. Assim, é possível mostrar o risco real para o usuário sem apresentar campos não verificados como informações definitivas.

O grupo de maior risco é formado por pessoas que também usam a senha da conta do Exvagos em outros serviços. Se a mesma senha foi usada em uma conta de e-mail, rede social, armazenamento em nuvem, outros fóruns, contas de jogos ou sites de compras, invasores podem usar dados antigos do Exvagos em tentativas automatizadas de login. Se o nome de usuário também for reutilizado, aumenta o risco de associação entre contas de diferentes plataformas. Isso é especialmente importante para pessoas que usam o mesmo apelido e o mesmo endereço de e-mail há anos.

Usuários cuja data de nascimento e cujo endereço IP são conhecidos podem ficar mais suscetíveis a mensagens de phishing direcionadas. Invasores podem criar mensagens sobre temas como participação anterior no fórum, verificação de conta, redefinição de senha, restrição de acesso, arquivo anexo ou comunicado da comunidade. A combinação de endereço de e-mail e nome de usuário faz a mensagem parecer mais pessoal e convincente. Portanto, o risco não se limita às tentativas de quebra de senhas: também envolve o rastreamento da identidade vinculada à conta em outros serviços e fraudes direcionadas.

Se você se lembra da senha que usava na conta do Exvagos, altere as senhas de todas as contas que usam uma senha igual ou semelhante. As novas senhas devem ser únicas, longas e aleatórias. A conta de e-mail deve ser a primeira a receber proteção, pois centraliza os links de redefinição de senha. Ative a autenticação multifator sempre que possível. Reutilizar uma senha antiga com pequenas alterações não é suficiente; invasores podem testar automaticamente variações comuns.

Tenha cuidado com mensagens inesperadas de verificação de conta, links de download, anúncios de fóruns, concessão de acesso ou redefinição de senha. Verifique o domínio antes de clicar no link e não confie em arquivos ou links recebidos por e-mail. Não use sua data de nascimento como senha, PIN ou resposta a uma pergunta de segurança. Se seu endereço IP vazou de uma sessão antiga, saiba que isso, por si só, não indica uma localização precisa; ainda assim, revisar suas configurações de rede, as informações públicas do seu perfil e a visibilidade do seu e-mail é útil para proteger sua privacidade.

No longo prazo, usar uma senha diferente para cada conta em fóruns e comunidades de download é uma medida básica de defesa. Um gerenciador de senhas facilita tanto a criação de senhas únicas quanto o acompanhamento de contas antigas. Se você usa o mesmo nome de usuário em muitas plataformas, verifique regularmente quais contas são públicas. Quando perfis antigos de fóruns, mensagens arquivadas e links de redes sociais são reunidos, sua identidade digital pode ficar mais visível do que o necessário.

Para as plataformas, o incidente do Exvagos demonstra a importância dos métodos de armazenamento de senhas. Em vez de algoritmos rápidos e ultrapassados como o MD5, devem ser usados métodos modernos de geração de hashes de senhas, que sejam lentos e utilizem salt. Os dados dos usuários devem ser mantidos apenas pelo tempo necessário, os prazos de retenção de endereços IP devem ser limitados, e os usuários devem ser avisados claramente quando for preciso alterar a senha. Para os usuários, atualizar senhas regularmente, usar autenticação multifator, mascarar o endereço de e-mail e eliminar contas antigas são medidas que reduzem o risco de forma duradoura.

Se você usou o Exvagos ou criou uma conta em exvagos.org, precisa verificar se seu endereço de e-mail está associado a este registro. Se houver uma correspondência, não trate o caso apenas como um incidente antigo de fórum; a combinação de hashes de senhas MD5, data de nascimento, endereço IP e nome de usuário também pode representar um risco para outras contas. A prioridade é encontrar todas as contas que usam a mesma senha e substituí-la por senhas únicas em cada uma delas. Em seguida, verifique as configurações de login e recuperação da sua conta de e-mail e dos perfis de redes sociais que você usa com frequência.

Este registro descreve o vazamento de dados do Exvagos com escopo confirmado: o incidente envolve dados de contas de usuários datados de 21 de julho de 2022, o número de contas afetadas é 2.121.789, e os tipos de dados são data de nascimento, endereço de e-mail, endereço IP, senha e nome de usuário. As ações para o usuário são: deixar de reutilizar senhas, reforçar a segurança da conta de e-mail, verificar a ligação entre o identificador usado no fórum antigo e outras contas e ter cuidado com mensagens direcionadas.