Vazamento de dados do Fotolog e consulta de e-mails

O conjunto de dados verificado continha endereços de e-mail, nomes de usuário e hashes de senha SHA-256 sem salt. Uma análise técnica realizada na época sobre os cinco bancos de dados do Fotolog colocados à venda também relatou nomes completos, localizações geográficas, interesses e outras informações de perfil, além de perguntas e respostas de segurança. Os 16.717.854 endereços informados pelo fonte pública sobre vazamentos de dados representam a abrangência do incidente segundo a fonte externa; o LeakData possui 16.231.463 vínculos de e-mail disponíveis para consulta e respaldados pelo arquivo de origem. Esse número não comprova que cada linha pertencia a uma pessoa diferente nem que todos os campos adicionais estavam presentes em todas as contas. A combinação de e-mail, nome de usuário, nome e informações de perfil pode facilitar phishing direcionado e a associação com contas em outras plataformas. Respostas de segurança reutilizadas podem enfraquecer os procedimentos de redefinição de senha em outros serviços. Hashes de senha não são senhas em texto simples, mas um esquema de hash rápido e sem salt oferece pouca resistência a tentativas de adivinhação offline, especialmente quando as senhas são curtas, comuns ou já foram expostas.

Segundo relatos, os dados das contas do Fotolog foram extraídos em dezembro de 2018 e oferecidos como um pacote separado em um mercado criminoso em fevereiro de 2019, junto com bancos de dados atribuídos a muitas outras organizações. O pacote do Fotolog foi anunciado como cinco bancos de dados que somavam cerca de 5,9 GB e mais de 16 milhões de registros de contas. Embora o vendedor tenha alegado ter explorado falhas em aplicações web de diferentes sites, as evidências públicas não estabeleceram o ponto de entrada específico no Fotolog, o sistema afetado ou a sequência do ataque; por isso, a execução remota de código não deve ser apresentada como a causa principal confirmada. O fonte pública sobre vazamentos de dados informa que o incidente abrangeu 16.717.854 endereços de e-mail únicos; esse número não corresponde à quantidade de vínculos respaldados pelo arquivo de origem do LeakData. Tratava-se de um banco de dados distinto, diretamente atribuído à estrutura de contas do Fotolog, e não de uma coleção genérica de credenciais. O serviço foi encerrado em 2019, e seu domínio foi posteriormente reaproveitado para outra finalidade; a ausência de um portal atual de contas do Fotolog não elimina o risco criado pelos dados históricos.

O grupo de maior risco é formado por pessoas que reutilizaram sua senha do Fotolog de 2018 no e-mail, nas redes sociais, em um serviço de fotos ou em outra conta. Hashes de senha SHA-256 sem salt fazem com que senhas idênticas gerem hashes idênticos e permitem que invasores testem listas de senhas comuns em alta velocidade. Um hash não revela diretamente a senha correspondente, e senhas longas e exclusivas continuam sendo mais difíceis de recuperar. Senhas curtas, baseadas em palavras de dicionário ou expostas em vazamentos anteriores são muito mais fáceis de adivinhar. Pessoas que reutilizaram uma resposta de segurança em outro serviço também estão sujeitas a ataques contra a redefinição de senha e a recuperação de conta. A combinação de nome completo, localização, interesses, nome de usuário e e-mail pode ajudar criminosos a elaborar mensagens que façam referência a uma fotografia antiga ou ao contexto de uma comunidade.

Se você se lembra da sua antiga senha do Fotolog, identifique todas as contas que ainda usam a mesma senha ou uma semelhante e troque a senha de cada uma dessas contas por uma senha longa e exclusiva. Priorize sua caixa de e-mail principal, redes sociais, armazenamento de fotos na nuvem e serviços que mantêm métodos de pagamento cadastrados. Se você reutilizou uma resposta de segurança do Fotolog, altere-a sempre que possível; escolha uma resposta aleatória e imprevisível, armazenada em um gerenciador de senhas, em vez de um fato real da sua vida. Revise sessões de e-mail desconhecidas, endereços de recuperação e regras de encaminhamento e, em seguida, ative a autenticação multifator. Desconfie de mensagens que aleguem restaurar fotos antigas do Fotolog, reabrir uma conta, resolver reclamações de direitos autorais ou verificar um perfil; criminosos podem usar a marca histórica e um nome de usuário real. Como o serviço original não funciona mais, trate com especial desconfiança qualquer mensagem que ofereça um link de redefinição de conta do Fotolog.

Use um gerenciador de senhas para gerar uma senha aleatória e exclusiva para cada serviço, de modo que a recuperação da senha a partir de um hash não comprometa outras contas. Mantenha a autenticação multifator ativada no e-mail e nos serviços essenciais, dando preferência a chaves de segurança resistentes a phishing ou a métodos baseados em dispositivos, quando disponíveis. Deixe de usar definitivamente a antiga senha do Fotolog e suas respostas de segurança; reutilizá-las com pequenas alterações na escrita não oferece proteção significativa. Lembre-se de que localizações, interesses e nomes de usuário antigos visíveis em perfis sociais podem tornar o phishing mais personalizado e reduza a exposição desnecessária dessas informações. Continue verificando endereços de e-mail antigos em consultas de vazamentos e confirme alertas inesperados de redefinição de senha por um canal independente. Dados de um serviço encerrado podem circular indefinidamente, por isso um plano de segurança duradouro deve abranger credenciais e dados de identidade usados anos atrás, e não apenas as contas atuais.

Use o campo de busca seguro nesta página para verificar todos os endereços de e-mail atuais e antigos que você possa ter usado no Fotolog. Uma correspondência significa que o endereço está entre os 16.231.463 vínculos de e-mail disponíveis para consulta no LeakData e validados a partir do arquivo de origem; isso não prova que a senha foi recuperada, que outra conta foi acessada ou que todos os campos de perfil existiam para aquela pessoa. Se a busca retornar um resultado, revise outras contas que usavam a senha ou as respostas de segurança da época de 2018, elimine qualquer reutilização que ainda exista e verifique a segurança da caixa de e-mail. A ausência de resultado não é uma garantia absoluta, pois um endereço pode ter sido registrado de outra forma, um registro pode estar ausente do conjunto de dados ou outro vazamento ainda pode afetar você. Digite apenas o identificador aceito no campo de busca; nunca forneça uma senha, hash de senha, resposta de segurança, código de uso único ou informações de pagamento. Consultar novamente endereços antigos de forma periódica pode revelar conjuntos de dados verificados anos após um incidente. Se você receber um aviso inesperado, evite o link incluído na mensagem e acesse o serviço em questão diretamente, por um caminho independente.