Flash Flash Revolution (Vazamento de dados de 2019)

Os tipos de dados verificados no registro de 2019 são datas de nascimento, endereços de e-mail, endereços IP, senhas e nomes de usuário. As senhas eram armazenadas no formato de hash MD5 com salt. O e-mail e o nome de usuário podem ser usados em tentativas de acesso a contas e na associação de perfis em diferentes serviços. O endereço IP pode fornecer um histórico de conexões ou contexto regional. A data de nascimento pode ser usada indevidamente para criar mensagens mais alinhadas ao perfil do usuário, adivinhar respostas a certas perguntas de recuperação de conta ou reforçar cenários de autenticação.

Hashes MD5 com salt são mais seguros do que senhas em texto simples, mas o MD5 é um método fraco diante das expectativas atuais de segurança. O risco de quebra persiste para senhas fracas, curtas ou reutilizadas. O registro de 2019 é adicional e independente do incidente de 2016, por isso os usuários não devem confiar apenas em alterações de senha feitas no passado. Quem definiu uma nova senha após 2016, mas continuou usando essa senha até 2019, também pode estar em risco.

O número de contas únicas verificadas é de 1.858.124. A data registrada para o incidente é 16 de julho de 2019. O registro pertence à plataforma Flash Flash Revolution e corresponde a um incidente separado, além do vazamento do mesmo serviço em 2016. Os campos de dados se limitam a endereços de e-mail, endereços IP, nomes de usuário, datas de nascimento e hashes de senha MD5 com salt. Essa delimitação é o principal ponto que distingue o registro de 2019 do registro de 2016.

Neste registro, número de telefone, endereço físico, cartão de pagamento, conta bancária, documento oficial de identificação, conteúdo de mensagens privadas e histórico de compras não estão entre os campos de dados verificados. A presença da data de nascimento aumenta o risco, mas não se deve acrescentar nenhuma alegação sobre dados financeiros. Os usuários devem avaliar o incidente com base nos riscos relacionados à segurança da conta, à reutilização de senhas, à engenharia social apoiada na data de nascimento e à associação de identidades em fóruns.

Os usuários com maior risco são aqueles que usam a senha da conta do Flash Flash Revolution em outras contas de jogos, fóruns, e-mail ou redes sociais. Quem alterou a senha após o incidente de 2016, mas usou a mesma nova senha por muito tempo, também pode ter sido afetado pelo vazamento de 2019. O fato de a conta antiga de jogo não estar mais ativa não elimina o risco; o mesmo histórico de senhas pode continuar presente em outras contas.

O risco de mensagens direcionadas é maior para pessoas cuja data de nascimento e nome de usuário aparecem juntos. Os invasores podem criar mensagens com temas relacionados a antigas comunidades de jogos, campanhas de aniversário, recuperação de conta, recompensas, torneios, verificação de perfil ou verificações de segurança. Informações de IP e endereços de e-mail também podem tornar essas mensagens mais convincentes. Quem usa o mesmo apelido em diferentes plataformas deve considerar o risco de sua identidade digital ser associada entre vários serviços.

Se o seu endereço de e-mail aparecer neste registro, altere a senha que você usava na conta do Flash Flash Revolution em 2019 e as senhas de todas as contas em que ela foi reutilizada. Mesmo que você tenha alterado a senha após o vazamento de 2016, verifique se a senha usada em 2019 continua sendo usada em outras contas. Priorize contas de e-mail, contas de jogos, perfis em redes sociais e sites de compras. Use uma senha longa e exclusiva para cada serviço.

Ative a verificação em duas etapas na sua conta de e-mail, mantenha as notificações de segurança ativadas e encerre as sessões que você não reconhece. Ao receber mensagens em nome de um fórum ou de uma comunidade de jogos antiga, verifique o domínio digitando-o por conta própria antes de clicar no link. Se uma mensagem pedir sua senha, um código de uso único ou informações de recuperação de conta, confirme a solicitação por um canal separado. Uma mensagem que conhece sua data de nascimento não deve ser considerada confiável automaticamente.

O incidente de 2019 do Flash Flash Revolution mostra que a mesma plataforma pode sofrer vazamentos separados em anos diferentes. Os usuários não devem considerar suficiente uma única alteração de senha e devem avaliar a qual período pertenciam as senhas que podem ter sido afetadas em cada incidente. Senhas exclusivas para contas de jogos e fóruns, autenticação de dois fatores e monitoramento regular das sessões são medidas fundamentais de segurança de longo prazo. Contas antigas devem ser encerradas ou protegidas com endereços de e-mail atualizados e senhas fortes.

Para plataformas de comunidades, o armazenamento seguro de senhas, a atualização do software dos fóruns, o monitoramento de acessos e a comunicação clara aos usuários em caso de violações recorrentes são de importância crítica. Manter campos pessoais adicionais, como a data de nascimento, aumenta o impacto de um incidente de segurança de contas. Reduzir dados pessoais desnecessários, manter os algoritmos de hash de senhas atualizados e auditar regularmente as bases de dados de contas são requisitos permanentes de segurança para esses serviços de comunidades.

Se o seu endereço de e-mail for encontrado no registro de 2019 do Flash Flash Revolution, lembre-se de que esse incidente é separado do registro de 2016. Altere a senha que você usava em 2019 e as senhas de todas as outras contas que usam a mesma senha. Proteja sua conta de e-mail com autenticação de dois fatores, ative as notificações de segurança nas suas contas de jogos e redes sociais e tenha cautela com mensagens personalizadas com sua data de nascimento.

Os campos de dados verificados neste vazamento são e-mail, endereço IP, nome de usuário, data de nascimento e hashes de senha MD5 com salt. Dados de telefone, endereço ou pagamento não foram verificados; no entanto, a combinação de senha e data de nascimento representa um risco elevado. A medida mais adequada é avaliar os registros de 2016 e 2019 separadamente, limpar seu histórico de senhas, usar senhas exclusivas para cada conta e impedir que contas antigas de jogos e fóruns criem riscos em outros serviços.