Foodora Vazamento de dados

Os tipos de dados confirmados neste registro são endereços de e-mail, nomes, números de telefone, endereços físicos de entrega e senhas. As senhas não são armazenadas em texto simples, mas como hashes bcrypt ou MD5 com salt. Embora bcrypt seja considerado um método robusto de hash de senhas, os hashes baseados em MD5 são mais fracos. Se você escolheu uma senha curta, previsível ou também usada em outras contas, o formato de hash não elimina completamente o risco.

O endereço de entrega e o número de telefone são especialmente importantes no contexto da entrega de comida. Atacantes podem usar essas informações para preparar notificações falsas de pedidos, alterações de entrega, cupons, devoluções, pesquisas de satisfação do cliente ou mensagens de verificação de conta. Se o nome, o endereço e o telefone da pessoa estiverem corretos, a mensagem pode parecer mais convincente. Por isso, o vazamento de dados da Foodora representa não apenas um risco à segurança das senhas, mas também um risco de engenharia social baseada em endereços físicos e números de telefone.

O número de endereços de e-mail únicos verificados é 582.578. A data registrada para o evento é 22 de abril de 2016, e ele está associado ao serviço de entrega de comida da Foodora. Segundo os relatos, o conjunto de dados abrange vários países. Os principais campos verificados são nome, e-mail, telefone, endereço de entrega e hashes de senhas. A quantidade de registros deve ser avaliada com base nas contas de e-mail únicas; não se deve presumir que a quantidade de registros brutos ou de linhas de pedidos seja exatamente igual ao número de usuários.

Neste registro, número de cartão de pagamento, código de segurança do cartão, conta bancária, documento oficial de identificação, data de nascimento e conteúdo de mensagens privadas não estão entre os campos de dados verificados. Em vez de agir como se dados de cartões tivessem vazado, você deve concentrar sua atenção em comunicações falsas, ataques que testam o acesso a contas e reutilização de senhas, com uso das informações de endereço de entrega e telefone. Campos não verificados não devem ser acrescentados ao texto, mas o impacto real dos campos vazados não deve ser subestimado.

As pessoas com maior risco são clientes que reutilizam em outras contas a senha da conta Foodora. Se a mesma senha for usada em contas de e-mail, compras, redes sociais, pedidos de comida ou serviços que não envolvem pagamentos, o risco de tentativas de acesso às contas aumenta. Pessoas cujo endereço de entrega e número de telefone estejam disponíveis podem ser alvo de abordagens falsas envolvendo entregas de encomendas ou comida. Mesmo que você não se lembre do histórico de pedidos antigos, as mesmas informações de contato podem continuar válidas por anos.

Se você usou o serviço da Foodora em vários países ou fez pedidos durante viagens, pode não se lembrar claramente de qual país era a conta afetada. Nesse caso, é necessário verificar em quais serviços de entrega seu e-mail e telefone foram usados no passado. O risco pode ser menor se as informações de endereço tiverem mudado; porém, se o e-mail e o telefone ainda estiverem ativos, atacantes poderão reutilizar essas informações em novas campanhas de fraude.

Você deve alterar imediatamente a senha usada na conta Foodora e, se usar a mesma senha em outras contas, atualizar todas elas com senhas exclusivas. A conta de e-mail merece proteção especial, pois os links de redefinição de senha de contas de entrega de comida e compras geralmente chegam à caixa de entrada do e-mail. Se a autenticação de dois fatores não estiver habilitada na conta de e-mail, ative-a. Você também deve alterar senhas semelhantes à antiga senha da Foodora.

Ao receber mensagens sobre entrega de comida, cupons, reembolsos, verificação de endereço ou cancelamento de pedidos, confira as informações pelo aplicativo ou domínio oficial antes de clicar em qualquer link. O fato de alguém que liga para você saber seu nome, endereço ou detalhes de um pedido anterior não comprova que essa pessoa seja confiável. Solicitações de senha, código de uso único, pagamento adicional ou informações de cartão devem ser verificadas por um canal separado. Concentre-se na segurança da conta e nas abordagens com comunicações falsas que representam riscos reais, sem entrar em pânico desnecessariamente.

O incidente da Foodora mostra a importância de usar senhas exclusivas para contas de entrega de comida e outros serviços semelhantes do dia a dia. Você deve encerrar as contas de entrega que não usa mais, reduzir as informações de endereço e telefone salvas e usar senhas diferentes para cada serviço. Mesmo que endereços de entrega antigos fiquem desatualizados após uma mudança de residência ou de emprego, as informações de e-mail e telefone podem ser usadas por atacantes por muito tempo.

Do ponto de vista dos prestadores de serviços, os dados dos clientes devem ser mantidos apenas pelo tempo necessário para concluir o pedido, os métodos de armazenamento de senhas devem ser protegidos com algoritmos robustos e as permissões de acesso em sistemas que operam em vários países devem ser monitoradas rigorosamente. Deve-se dar preferência a métodos robustos, como Bcrypt, e não usar hashes antigos baseados em MD5. Quando endereço de entrega, telefone e nome estão presentes em conjunto, o impacto sobre a segurança do usuário pode ser elevado, mesmo que não sejam dados de pagamento.

Se seu endereço de e-mail aparecer neste registro, verifique a senha que você usa na Foodora ou em contas de serviços de entrega de comida associados. Adote uma senha exclusiva em cada conta na qual você usa a mesma senha ou uma senha semelhante. Proteja sua conta de e-mail com autenticação de dois fatores e revise as informações de telefone e endereço salvas nos aplicativos de entrega de comida. Confira mensagens inesperadas sobre pedidos, cupons, reembolsos ou verificação de endereço diretamente pelos canais oficiais.

No vazamento de dados da Foodora, não foi confirmada a presença de informações de cartões de pagamento ou contas bancárias; porém, a combinação de nome, e-mail, telefone, endereço de entrega e hashes de senhas representa um risco sério. A conduta mais adequada é parar de reutilizar senhas, reforçar a segurança da conta de e-mail, ter cautela com mensagens de phishing que usam o tema de entregas e reduzir dados pessoais desnecessários em contas antigas de pedidos de comida. Essas medidas reduzem tanto o impacto direto sobre a conta Foodora quanto os riscos para outras contas vinculadas ao mesmo histórico de senhas.