Vazamento de dados de FlexBooker

Os tipos de dados verificados neste registro são endereços de e-mail, nomes, números de telefone, senhas e informações parciais de cartões de crédito. O principal risco é a exposição em larga escala de informações de contato, combinada com o contexto das reservas. E-mails e números de telefone podem ser usados para enviar mensagens falsas sobre lembretes de agendamento, cancelamentos, atualizações de pagamento, pagamentos de sinal, taxas de serviço ou verificação de cadastros de clientes. O uso dos nomes torna essas mensagens mais convincentes.

O relato sobre hashes de senhas e dados parciais de cartões de crédito não abrange todos os usuários, mas um grupo mais restrito de contas. Essa distinção é importante. Dados parciais de cartões geralmente não correspondem ao número completo do cartão nem ao código de segurança; ainda assim, alguns detalhes do cartão podem ajudar um invasor a dar credibilidade a mensagens falsas de atualização de pagamento. Os hashes de senhas também aumentam o risco de tomada de controle de contas que usam senhas fracas ou reutilizadas.

O número de contas únicas verificadas é 3.756.794. A data registrada para o incidente é 23 de dezembro de 2021, e ele está associado à plataforma de reservas online FlexBooker. Os campos de e-mail, nome e telefone constituem o escopo principal. Os campos de hashes de senhas e dados parciais de cartões de crédito se aplicam a um número limitado de contas. Segundo o relato, o incidente teve origem em uma conta comprometida de um serviço em nuvem; trata-se de um problema de acesso ocorrido no ambiente do prestador de serviços, não no do usuário.

Este registro não inclui números completos de cartões de crédito, códigos de segurança de cartões, contas bancárias, documentos oficiais de identificação, registros de saúde, endereços físicos nem campos de dados verificados com conteúdo de mensagens privadas. Você deve avaliar os riscos considerando esses limites. Os riscos mais realistas são mensagens falsas sobre reservas ou pagamentos, engenharia social por meio de ligações telefônicas, tentativas repetidas de acesso usando senhas e tentativas de fraude que exploram informações parciais de cartões.

As pessoas mais expostas ao risco são aquelas que fizeram um agendamento ou uma reserva por meio de empresas que usam a FlexBooker. Elas podem não reconhecer de imediato o nome da plataforma, pois podem ter concluído a reserva por meio de um salão, curso, consultor, prestador de serviços ou estabelecimento local. Pessoas cujos e-mails e números de telefone foram expostos podem ser alvo de mensagens falsas sobre mudanças de agendamento, cancelamentos de serviços, pagamentos antecipados, renovações de assinaturas ou atualizações de perfil de cliente.

Os hashes de senhas representam um risco adicional para os usuários do grupo limitado afetado. Se a mesma senha for reutilizada em outras contas, invasores podem tentar usar essa combinação em diferentes serviços. Pessoas cujos dados parciais de cartões foram comprometidos não devem entrar em pânico desnecessariamente, como se todas as informações do cartão tivessem vazado; ainda assim, devem manter as notificações bancárias ativadas e ter cuidado com solicitações fraudulentas de verificação relacionadas ao cartão. Também é necessário verificar a identidade de quem liga e fala como se tivesse informações sobre agendamentos anteriores.

Se você criou uma conta pela FlexBooker ou por uma empresa que usa esse sistema, altere a senha dessa conta. Se usa a mesma senha em outras contas, adote uma senha exclusiva para cada uma delas também. Ative a verificação em duas etapas na sua conta de e-mail e mantenha as notificações de segurança ativadas. Ao receber mensagens inesperadas sobre agendamentos, pagamentos, pagamentos de sinal ou cancelamentos, use o canal oficial de comunicação da empresa em vez de clicar em um link.

Se você acredita que informações parciais do seu cartão podem ter sido afetadas, acompanhe as transações do cartão, ative as notificações do aplicativo do banco e avise o banco imediatamente caso encontre alguma transação que não reconheça. Como não há confirmação de que o número completo do cartão ou o código de segurança tenha sido comprometido, cancelar o cartão automaticamente pode não ser necessário em todos os casos; no entanto, é essencial ter cuidado com mensagens fraudulentas de atualização de pagamento. O fato de quem liga saber seu nome ou conhecer uma reserva anterior não comprova que essa pessoa seja confiável.

O incidente da FlexBooker mostra que plataformas de reservas e agendamentos podem armazenar uma grande quantidade de dados de clientes em nome de diferentes empresas. A longo prazo, você deve usar uma senha exclusiva para cada serviço de reservas, proteger bem sua conta de e-mail e limitar as informações de contato que compartilha com serviços de agendamento. Encerre contas que não usa mais e verifique se plataformas antigas de reservas continuam armazenando as informações de telefone e pagamento cadastradas.

Para os prestadores de serviços, a segurança das contas em nuvem, o gerenciamento de chaves de acesso, o princípio do menor privilégio e o monitoramento de atividades incomuns de download de dados são fundamentais. Embora os sistemas de reservas possam parecer apenas um serviço de calendário, eles armazenam conjuntos de dados valiosos que aumentam o risco de fraude por reunirem nomes de clientes, números de telefone, endereços de e-mail e informações sobre o contexto de pagamento. Por isso, a minimização de dados, controles de acesso robustos e a notificação rápida aos clientes devem fazer parte de uma estratégia permanente de segurança.

Se seu endereço de e-mail aparece neste registro, verifique se você tem algum histórico de agendamento ou reserva com uma empresa que usa a FlexBooker. Altere a senha usada na conta correspondente e atualize as outras contas em que você reutiliza essa senha. Em vez de seguir links em mensagens sobre cancelamento de agendamento, atualização de pagamento, taxas de serviço ou verificação de perfil de cliente, entre em contato diretamente com a empresa pelos canais oficiais.

O principal risco no vazamento de dados da FlexBooker é a exposição em larga escala de e-mails, nomes e números de telefone; os hashes de senhas e os dados parciais de cartões se aplicam apenas a um grupo limitado de contas. As medidas mais adequadas são deixar de reutilizar senhas, proteger as contas de e-mail com autenticação de dois fatores, acompanhar as transações dos cartões e verificar com cuidado mensagens fraudulentas relacionadas a reservas. Essa abordagem se concentra nos riscos reais, sem gerar pânico desnecessário como se os dados completos dos cartões tivessem vazado.