Vazamento de dados de Facebook

As categorias de dados verificadas incluem datas de nascimento, endereços de e-mail, informações sobre empregadores, gênero, localizações geográficas, nomes, números de telefone e status de relacionamento. O aspecto mais crítico do conjunto de dados é a presença generalizada de números de telefone; os endereços de e-mail aparecem apenas em uma parcela menor, não em todas as contas. Quantidades de pessoas, campos de dados e alegações de agentes maliciosos que não foram verificados não são considerados parte do escopo público do incidente. A combinação de um número de telefone com um nome cria uma base sólida para mensagens personalizadas, falsas notificações de envio, imitações de alertas bancários e golpes de recuperação de conta.

Campos como data de nascimento, localização e empregador são informações complementares que dão credibilidade à mensagem do invasor. Campos do perfil, como status de relacionamento e gênero, não permitem acesso direto a contas financeiras; no entanto, podem ser usados na seleção de alvos, em pressão social e em tentativas de persuasão pessoal. A ausência de senhas entre as categorias de dados verificadas não significa que o risco tenha sido eliminado. Se o número de telefone continua o mesmo, algumas informações solicitadas para verificar a identidade nas telas de recuperação de conta ou durante o atendimento ao cliente podem estar em posse do invasor.

A data registrada para o vazamento é 1 de agosto de 2019, a data verificada de inclusão é 4 de abril de 2021 e a data da última alteração da verificação é 6 de abril de 2021. O número de contas afetadas é considerado como 509.458.528. Números brutos maiores podem aparecer em outras notícias; o número usado aqui se baseia na contagem de registros verificados para as telas de busca e de notificação aos usuários. Os campos vazados se limitam a informações de perfil e de contato; informações financeiras, informações de saúde, conteúdo de mensagens privadas e senhas não fazem parte do escopo verificado deste incidente.

A causa principal do incidente é o uso abusivo de um antigo fluxo de busca de pessoas, no qual era possível associar números de telefone a perfis de usuários. A empresa informou que fez alterações nesse fluxo em 2019. Ainda assim, não se pode considerar que o risco tenha ficado no passado, porque o conjunto de dados circulou gratuitamente e com amplo acesso em 2021. Como os dados continham números de telefone, nomes e informações de perfil que permaneceram iguais por muitos anos para a maioria dos usuários, o impacto na segurança pode persistir por bastante tempo.

O maior risco é para pessoas que têm seu número de telefone no perfil do Facebook e ainda usam o mesmo número. Quem usa o número de telefone como elemento de autenticação em serviços bancários, contas na nuvem, e-mail, sistemas de trabalho ou operações com a operadora deve ter mais cuidado. Usuários com campos visíveis, como empregador, localização ou data de nascimento, também podem ficar expostos a tentativas mais convincentes de engenharia social. O risco é mais amplo para o pequeno grupo cujo endereço de e-mail foi vazado, pois, quando telefone e e-mail aparecem juntos, é mais fácil direcionar golpes de recuperação de conta e redefinição de senha.

Também há um risco indireto para usuários que transferiram seu número antigo para outra pessoa. Se o número que aparece no conjunto de dados agora pertence a outro usuário, o novo titular pode receber ligações ou mensagens destinadas à pessoa errada; o antigo titular do perfil pode sofrer confusões de identidade devido à associação anterior com esse número. Para proprietários de pequenos negócios, agentes públicos, criadores de conteúdo e funcionários que interagem com clientes por telefone, a visibilidade é maior, e as tentativas de uso indevido podem ocorrer com mais frequência.

A prioridade é verificar quais contas ainda usam o número de telefone para autenticação ou recuperação de conta. Sempre que possível, prefira um aplicativo de autenticação ou uma chave de segurança física em vez de SMS. Nas contas de redes sociais, verifique quem pode encontrar seu número de telefone, quem tem acesso às informações do perfil e se as opções de recuperação de conta estão atualizadas. Antes de clicar em qualquer link, confirme de forma independente, pelo canal oficial do serviço, códigos de verificação, alertas bancários, mensagens de entrega, ofertas de emprego ou mensagens sobre chamadas de suporte recebidas de pessoas desconhecidas.

Se a conta na operadora oferecer opções de segurança, como senhas adicionais ou verificação de identidade presencial em uma loja para troca de SIM e portabilidade do número, ative essas opções. Os usuários afetados também devem usar senhas exclusivas, adotar autenticação de dois fatores robusta e verificar o histórico de sessões nas contas críticas associadas ao mesmo endereço de e-mail. Encerre sessões desconhecidas na conta do Facebook, revise a lista de dispositivos confiáveis e reduza a visibilidade do perfil. Embora este incidente não envolva senhas, os invasores podem usar as informações de perfil que têm em mãos como pretexto para redefinições de senha.

Embora o número de telefone seja um meio prático de comunicação, ele funciona como um identificador pessoal duradouro. Por isso, em vez de manter o mesmo número visível em todos os serviços, é mais seguro usá-lo apenas nas contas em que ele é realmente necessário. Campos como data de nascimento, empregador, localização e status de relacionamento nos perfis de redes sociais devem ter sua exposição pública reduzida. Usar canais de comunicação diferentes para contas profissionais e pessoais dificulta que um único conjunto de dados vincule várias contas.

As equipes corporativas devem considerar que os números de telefone dos funcionários e as informações sobre seus empregadores podem circular fora da organização e não devem confiar apenas em solicitações feitas por telefone nos processos de suporte, recursos humanos e finanças. Nos fluxos de atendimento ao cliente e suporte técnico, informações fáceis de obter, como data de nascimento, número de telefone ou endereço, não devem ser o único meio de verificação. Já os usuários individuais devem incorporar à sua rotina de proteção de longo prazo hábitos como verificações regulares de privacidade, atualização das opções de recuperação de conta, denúncia de mensagens SMS suspeitas e renovação da autenticação de dois fatores.

O resultado não significa que sua senha tenha sido vazada ou que sua conta tenha sido acessada diretamente. Ainda assim, você deve ter cuidado com mensagens direcionadas que possam chegar ao seu número de telefone, falsas ligações de suporte, tentativas de troca fraudulenta de SIM e golpes de recuperação de conta. A prioridade é reforçar a autenticação de dois fatores nas contas críticas vinculadas ao seu número de telefone, reduzir a visibilidade do perfil e não compartilhar com ninguém códigos de verificação que você não esperava receber.

Se o resultado da consulta for negativo, isso significa apenas que nenhuma correspondência foi encontrada neste conjunto de dados; podem ser necessárias verificações separadas para outros incidentes ou conjuntos de dados mais recentes. Se você usa seu número de telefone há anos, é mais adequado tomar decisões de segurança levando em conta que informações antigas do perfil ainda podem estar circulando. Especialmente se você mudou de número, verifique se o número antigo foi removido das opções de recuperação de conta e se o novo é usado apenas nos serviços necessários. O objetivo desta página é mostrar a você, de forma tranquila, quais dados representam risco e quais medidas devem ser priorizadas.