Vazamento de dados de EyeEm

As categorias de dados verificadas são endereços de e-mail, nomes, nomes de usuário, biografias de perfil e hashes de senhas. O arquivo colocado à venda foi anunciado como contendo 22.360.765 registros de contas, mas, segundo relatos, aproximadamente três milhões não tinham endereço de e-mail. Portanto, a medida confiável do impacto é a de 19.611.022 endereços de e-mail únicos identificados após a remoção de duplicatas; os dois números não devem ser somados nem apresentados como se representassem a mesma medida. Não se pode presumir que todos os registros contenham os cinco campos. Um nome, um nome de usuário e uma biografia podem vincular uma pessoa às suas fotografias e tornar o phishing direcionado mais convincente. Endereços de e-mail ajudam a localizar contas, enquanto hashes de senhas podem ser usados em tentativas de adivinhação offline e em tentativas de acesso a serviços nos quais as credenciais foram reutilizadas. Informações de cartões de pagamento e contas bancárias não estão entre as categorias verificadas, portanto este evento não deve ser apresentado como uma exposição de dados financeiros.

Segundo relatos, informações de contas foram roubadas dos servidores da EyeEm em fevereiro de 2018 e posteriormente colocadas à venda junto com outros grandes conjuntos de dados. O incidente veio a público em 11 de fevereiro de 2019; a EyeEm notificou os clientes no dia seguinte e exigiu a redefinição das senhas das contas. A data de 28 de fevereiro indicada no registro representa um evento que se sabe apenas ter ocorrido naquele mês, não uma comprovação do dia exato da invasão. As senhas nos registros examinados foram descritas como hashes SHA-1. Não há evidências confiáveis que confirmem se a EyeEm usava um salt individual para cada senha, portanto classificá-las como “com salt” ou “sem salt” seria especulativo. O resultado de SHA-1 não é texto simples, mas senhas fracas podem ser recuperadas por meio de tentativas de adivinhação offline. O método de acesso inicial não foi esclarecido publicamente, portanto o evento não deve ser atribuído a uma falha específica, a um terceiro ou à ação de um funcionário sem evidências.

Pessoas que criaram uma conta na EyeEm antes de fevereiro de 2018, se cadastraram com um endereço de e-mail ou incluíram um nome real, nome de usuário e biografia no perfil constituem o principal grupo de risco. Fotógrafos, criadores visuais e profissionais de licenciamento podem receber propostas fraudulentas convincentes, pois nomes, identificadores de usuário e perfis criativos podem ser combinados. Uma conta antiga continua sendo relevante: seu e-mail pode identificar contas em outros serviços, um padrão de senha antigo pode ajudar a prever escolhas mais recentes, e os detalhes do perfil podem dar credibilidade a mensagens. O uso indevido pode ir além da tomada de controle de contas e incluir notificações falsas de direitos autorais, consultas sobre licenciamento, solicitações de pagamento, pedidos de verificação de portfólio ou de redefinição de senha que busquem obter novas informações. A inclusão no conjunto de dados não comprova que todas as contas tenham sido usadas indevidamente ou que todas as senhas tenham sido recuperadas a partir dos hashes. A exposição, a recuperação de senhas e o comprometimento confirmado de contas são resultados distintos.

A redefinição obrigatória feita pela EyeEm em 2019 invalidou a senha antiga nessa plataforma, mas o risco permanece em qualquer serviço no qual a mesma senha ou uma senha semelhante tenha sido reutilizada. Identifique essas contas e substitua cada credencial reutilizada por uma senha forte e exclusiva; um gerenciador de senhas facilita a manutenção dessa prática. Ative a autenticação multifator nos serviços importantes, começando pelo e-mail, e revise os dados de recuperação e as sessões ativas em busca de alterações que você não reconhece. Tenha cuidado com avisos da EyeEm, propostas de licenciamento de fotos, alegações de violação de direitos autorais e ofertas relacionadas a portfólios, verificando o domínio real do remetente e o destino dos links. Não abra anexos inesperados; para entrar na sua conta, digite o endereço do serviço em vez de seguir um link recebido em uma mensagem. Remova regras de encaminhamento de e-mail, senhas de aplicativo ou métodos de recuperação que você não reconhece, encerre sessões desconhecidas e revise as atividades recentes de segurança.

O tempo decorrido desde este incidente não torna inúteis os dados de identidade expostos. Endereços de e-mail e detalhes de perfil podem continuar corretos por anos, e conjuntos de dados antigos podem ser combinados com coleções mais recentes para criar perfis usados em ataques direcionados. Gere uma senha diferente para cada serviço, ative alertas de vazamento e de senhas fracas no seu gerenciador de senhas e dê preferência a um aplicativo autenticador ou a uma chave física para a autenticação multifator. Usar aliases de e-mail distintos pode revelar onde um endereço foi compartilhado e facilitar o reconhecimento de mensagens suspeitas. Limitar as biografias às informações necessárias também reduz o risco de engenharia social; evite publicar endereço pessoal, número de telefone, data de nascimento ou locais que você frequenta regularmente sem uma necessidade clara. Revise periodicamente as sessões ativas, os aplicativos conectados e as configurações de recuperação, e encerre contas que você não usa mais. Verifique os alertas pelo aplicativo oficial ou por um endereço digitado diretamente, em vez de usar um link na mensagem.

Uma correspondência de endereço de e-mail significa que ele apareceu no conjunto de dados da EyeEm de fevereiro de 2018. Isso não comprova que a conta continue aberta, que uma senha em texto simples esteja visível ou que alguém tenha assumido o controle da conta. Diferencie o período do vazamento da divulgação em fevereiro de 2019 e verifique se a senha antiga foi reutilizada em outros serviços. Se houver uma correspondência, proteja primeiro seu e-mail e depois as contas que possam ter usado a mesma senha ou uma senha semelhante. A ausência de correspondência não é uma garantia absoluta de segurança: você pode ter se cadastrado com outro endereço, alguns registros não tinham e-mail ou outro incidente pode ainda não ter sido verificado. Combine verificações periódicas com alertas do gerenciador de senhas, autenticação multifator e revisões das atividades das contas. Ao avaliar mensagens suspeitas, analise em conjunto o domínio real do remetente, o destino dos links, o tom de urgência e os pedidos de senha ou pagamento. Assim, uma consulta sobre o vazamento histórico da EyeEm se torna parte de uma prática contínua de segurança.