Vazamento de dados de cidadãos franceses em 2024

As categorias de dados verificadas são informações de dispositivos, endereços de e-mail, endereços IP, nomes, dados parciais de cartões de crédito, números de telefone e endereços físicos. Como os conjuntos de dados que compõem a compilação não continham os mesmos campos, uma linha pode incluir um endereço de e-mail e um número de telefone, enquanto outra pode conter apenas um endereço ou um detalhe de dispositivo. A lista de categorias não significa que todas elas estejam presentes em cada correspondência.

Dados parciais de cartões de pagamento não significam que o número completo do cartão ou seu código de segurança estavam presentes. Ainda assim, elementos limitados, como o tipo de pagamento ou os quatro últimos dígitos, podem tornar tentativas de fraude direcionadas mais convincentes quando combinados com informações de contato. Números de telefone e endereços físicos podem ser usados em mensagens falsas sobre entregas, avisos bancários ou serviços públicos. Informações de IP e detalhes de dispositivos podem fornecer um contexto limitado sobre uma sessão, uma região ou hábitos de uso de um dispositivo.

As senhas não estão entre as categorias de dados verificadas para este registro. A ausência de uma categoria de senhas não elimina o risco. Um endereço de e-mail, um nome e um número de telefone podem ser combinados com detalhes de incidentes anteriores para viabilizar golpes envolvendo redefinição de senha, solicitações de suporte ou códigos de autenticação. Uma resposta adequada considera o risco de personalização dos golpes gerado pela combinação dos campos, e não apenas um campo isolado.

Foi relatada a presença de mais de 90 milhões de linhas na compilação exposta, enquanto o registro canônico contém 28.445.106 endereços de e-mail únicos. Esses números medem coisas diferentes. O primeiro descreve o volume bruto de linhas; o segundo, a abrangência dos endereços de e-mail após a remoção de duplicatas. A mesma pessoa ou o mesmo endereço pode aparecer em vários arquivos ou linhas, portanto o total bruto de linhas não pode ser convertido diretamente em uma contagem de pessoas.

A investigação identificou indícios de pelo menos dezessete conjuntos de dados relacionados. Os nomes dos arquivos e a diversidade dos campos indicam que o material veio de diferentes incidentes anteriores ou processos de coleta. A origem de cada arquivo e a ocorrência efetiva de cada incidente sugerido por um nome de arquivo não foram estabelecidas de forma independente. Portanto, seria incorreto vincular a compilação a um único atacante, a uma única organização vítima ou a um único método de acesso.

O proprietário do ambiente exposto não foi identificado. Essa incerteza impede conclusões como recomendar o encerramento de contas em uma marca específica, considerar todos os clientes de uma organização em risco ou atribuir os dados de uma pessoa com correspondência a uma única origem específica. A data nesta página representa o período em que a compilação foi encontrada exposta; ela não estabelece quando cada arquivo que a compõe foi criado originalmente. Os campos disponíveis variam de pessoa para pessoa e devem ser interpretados com cautela.

Pessoas cujo endereço de e-mail, número de telefone e endereço físico aparecem juntos correm maior risco de tentativas de phishing e engenharia social que usam detalhes pessoais. Um atacante pode usar um endereço plausível, o nome de um serviço local ou uma preferência de contato para preparar mensagens sobre entregas atrasadas, restituições de impostos, segurança bancária ou renovações de contas. A presença de detalhes pessoais em uma mensagem não é prova de que o remetente seja confiável.

Pessoas com correspondência associada a informações parciais de cartões de pagamento devem ter cuidado especial com ligações sobre renovação de cartão, verificação de transações ou reembolsos. Saber os quatro últimos dígitos de um cartão não prova que a pessoa que está ligando representa o banco. Quando uma solicitação sensível chegar em nome de um banco ou provedor de pagamentos, use o número impresso no cartão ou o aplicativo oficial do provedor para entrar em contato por conta própria.

Pessoas que usam os mesmos dados de contato no trabalho, em contextos familiares ou em perfis públicos também podem ser alvos mais fáceis. Informações de IP e de dispositivos, por si só, não comprovam uma localização nem o comprometimento de uma conta, mas podem ajudar a selecionar alvos e elaborar abordagens convincentes quando combinadas com outros detalhes públicos. Quem usa um único endereço de e-mail em muitos serviços online deve examinar avisos de segurança inesperados com atenção especial.

Primeiro, confirme que a senha da conta de e-mail é exclusiva e que a autenticação multifator está ativada. Como este registro não inclui uma categoria de senhas, uma correspondência, por si só, não deve ser tratada como prova de que todas as senhas foram expostas. A conta de e-mail continua sendo um meio de recuperação de acesso a outros serviços, portanto sua segurança merece uma revisão imediata. Encerre as sessões que você não reconhece e verifique se os números de telefone de recuperação e os endereços secundários estão atualizados.

Revise regularmente a movimentação dos cartões de pagamento e os alertas bancários. Entre em contato com o emissor do cartão por um canal oficial ao encontrar cobranças de pequeno valor que você não reconheça, solicitações suspeitas de verificação ou mensagens sobre renovação de cartão. A decisão de substituir um cartão deve se basear em indícios adicionais, como uma transação suspeita ou uma orientação do emissor. Não forneça dados do cartão, códigos de uso único ou documentos de identidade em resposta a uma ligação não solicitada.

Em e-mails, mensagens de texto e ligações, avalie separadamente o destino dos links, o domínio do remetente e a ação solicitada. Uma mensagem que usa o nome de um serviço de entregas, órgão público, banco ou equipe de atendimento ao cliente ainda precisa de confirmação independente, mesmo quando inclui detalhes pessoais. Remover informações desnecessárias de endereço, telefone e data de nascimento de perfis sociais e profissionais também pode dificultar tentativas futuras de abordagem direcionada.

Usar uma senha longa e exclusiva para cada serviço limita o impacto de compilações de dados de várias fontes. Um gerenciador de senhas pode reduzir a reutilização e ajudar a armazenar credenciais fortes. Prefira um aplicativo autenticador ou uma chave física de segurança para a autenticação multifator, quando essas opções estiverem disponíveis. Códigos enviados por mensagem de texto acrescentam proteção, mas não eliminam todos os riscos de engenharia social.

Revise as configurações de recuperação de conta periodicamente. Remova endereços de encaminhamento, números de telefone, aplicativos conectados ou sessões que você não reconheça. Verifique também as regras de e-mail; atacantes podem tentar adicionar regras de encaminhamento ou arquivamento que ocultem avisos de segurança. Essas verificações são úteis para todas as contas digitais, não apenas em relação a este evento.

Reduzir a divulgação de dados também é uma defesa duradoura. Deixe em branco os campos não essenciais em formulários de sorteios, crédito, descontos, entregas e adesão, e use um endereço de contato separado quando for viável. Revise as configurações de privacidade oferecidas pelos serviços e limite o compartilhamento com terceiros. Quanto menos contexto suas informações pessoais revelarem online, mais difícil será criar abordagens direcionadas convincentes a partir de grandes compilações.

Use a consulta ao registro nesta página para verificar se o seu endereço de e-mail corresponde a um endereço na compilação de dados de cidadãos franceses. Uma correspondência indica que o endereço está dentro da abrangência verificada; ela não comprova que todos os tipos de dados apareceram na sua linha, que uma conta foi comprometida ou que uma única organização forneceu os dados. Trate o resultado como um sinal de risco pessoal e priorize as verificações de segurança da conta.

Se não houver correspondência, endereços de e-mail antigos, aliases e contas que você não usa mais ainda podem merecer uma revisão. A ausência de correspondência não garante que nenhum dado pessoal esteja disponível em outros locais na internet. Manter verificações regulares de segurança, confirmar contatos suspeitos por um canal independente e revisar a movimentação financeira continuam sendo a abordagem mais confiável.