Vazamento de dados da Eye4Fraud em 2023

O conjunto de dados verificado continha endereços de e-mail, endereços IP, nomes, dados parciais de cartões de crédito, senhas, números de telefone e endereços físicos. Os 16.000.591 endereços de e-mail únicos representam os endereços sem duplicatas encontrados em 147 tabelas que continham um número muito maior de linhas; esse número não comprova que havia a mesma quantidade de pessoas distintas nem que todos os tipos de dados estavam presentes para cada pessoa. O conjunto de dados abrangia dois grupos principais: usuários diretos do serviço Eye4Fraud e pessoas que fizeram pedidos em outras lojas de comércio eletrônico que usavam o Eye4Fraud. Os registros das contas de usuários diretos incluíam nomes e hashes de senhas bcrypt, enquanto as tabelas de pedidos continham nomes, números de telefone, endereços físicos e informações parciais de cartões. Os dados parciais de cartões correspondem ao tipo de cartão e aos quatro últimos dígitos; não há confirmação da presença de números completos de cartões ou códigos de segurança.

A Eye4Fraud confirmou oficialmente que um arquivo de backup relacionado a determinados clientes e contendo informações limitadas foi alvo de acesso não autorizado em janeiro de 2023. A empresa afirmou que contratou especialistas em segurança cibernética e consultores externos, notificou as autoridades policiais e cooperou com a investigação. Em fevereiro de 2023, aproximadamente 65 GB de dados supostamente provenientes da Eye4Fraud foram colocados à venda em um fórum criminoso. O material publicado abrangia dezenas de milhões de linhas distribuídas em 147 tabelas, e a verificação identificou 16.000.591 endereços de e-mail únicos. Os hashes de senhas bcrypt estavam associados apenas a usuários diretos do serviço; as evidências não mostram que tenham sido coletadas senhas das contas de compradores em lojas de comércio eletrônico. Como o método técnico de acesso não foi divulgado, uma falha de software, phishing ou acesso por alguém de dentro da organização não devem ser apresentados como causa comprovada.

Para quem tinha uma conta diretamente na Eye4Fraud, o principal risco é que uma senha fraca ou reutilizada em outros serviços possa ser descoberta a partir de seu hash bcrypt. Pessoas que fizeram pedidos em lojas que usavam a Eye4Fraud podem constar nos registros mesmo sem nunca terem criado uma conta na Eye4Fraud, pois os dados usados na análise das transações passavam pelo serviço. A combinação de nome, número de telefone, endereço físico, e-mail, endereço IP e quatro últimos dígitos de um cartão pode facilitar golpes convincentes envolvendo entregas, cancelamento de pedidos, reembolsos, verificação de pagamentos ou ligações falsas em nome de bancos. Os quatro últimos dígitos, por si só, não bastam para fazer um pagamento com cartão, mas o contexto de uma transação real pode tornar a engenharia social mais convincente. Encontrar um e-mail no conjunto de dados não comprova que um número completo de cartão tenha sido exposto, que uma senha tenha sido recuperada ou que todas as categorias de dados listadas pertencessem à mesma pessoa.

Se você tinha uma conta na Eye4Fraud, substitua a senha por uma senha longa e exclusiva e atualize todas as outras contas que usam a mesma senha ou uma semelhante. Priorize sua conta de e-mail principal, os painéis de administração de lojas, os serviços de pagamento e as contas financeiras. Elimine todas as senhas reutilizadas e ative a autenticação multifator; acrescentar um dígito a uma senha antiga não a torna suficientemente diferente. Revise as sessões ativas da sua conta de e-mail, os endereços de recuperação, as regras de encaminhamento e os dispositivos que você não reconhece. Se você comprou em uma loja que usava a Eye4Fraud, confira a movimentação do cartão e os alertas de transações e informe ao banco qualquer cobrança que não reconheça, usando um canal conhecido. Não siga links em mensagens sobre entregas, reembolsos, pedidos ou verificação de cartões; abra você mesmo o aplicativo da loja ou do banco. Mesmo que alguém que ligue para você saiba os quatro últimos dígitos, nunca forneça um código de uso único, o número completo do cartão ou o código de segurança.

Use um gerenciador de senhas para criar uma senha aleatória e exclusiva para cada conta, de modo que a recuperação de uma senha a partir de um hash não afete outros serviços. Prefira chaves de acesso ou autenticação multifator resistente a phishing para e-mail, finanças e administração de comércio eletrônico. Ative os alertas do banco e do cartão e considere usar cartões virtuais ou com restrições para compras online, quando disponíveis. Empresas de comércio eletrônico devem minimizar os dados enviados a fornecedores de prevenção a fraudes, impor limites de retenção e evitar que os backups fiquem sujeitos às mesmas permissões de acesso dos sistemas de produção. A administração com privilégios mínimos, os backups criptografados, o monitoramento de registros de acesso e os planos de notificação de incidentes testados em simulações reduzem o impacto de acessos não autorizados. Não considere o conhecimento de detalhes reais de um pedido como prova de que uma mensagem ou uma ligação é legítima.

Use o campo de busca seguro desta página para verificar todos os seus endereços de e-mail, atuais e antigos, que possam ter constado em uma conta da Eye4Fraud ou em um pedido analisado pelo serviço. Uma correspondência significa que o endereço está entre os 16.000.591 e-mails únicos verificados; ela não identifica a tabela de origem, não comprova que havia um hash de senha ou dados parciais de cartão naquela linha, nem mostra que informações completas de cartão tenham vazado. Se você receber um resultado, considere se era um usuário direto do serviço ou em quais lojas fez compras e, com base nisso, priorize as verificações de senhas, contas de e-mail e pagamentos. Elimine a reutilização de senhas antigas, confira as sessões das contas e ative os alertas do cartão. Nunca insira uma senha, número completo de cartão, código de segurança, código de uso único ou endereço físico no campo de busca. A ausência de resultado não oferece garantia absoluta, pois um endereço escrito de outra forma, um pedido fora desse conjunto de dados ou outro vazamento ainda pode afetar você. Acesse diretamente o domínio conhecido da loja ou da instituição financeira, em vez de usar links de mensagens suspeitas.