Fun Office Pools Suposta exposição de dados

Os campos de dados verificáveis são endereços de e-mail, nomes de usuário e senhas com hash. Um endereço de e-mail, por si só, pode ser usado para enviar mensagens falsas de redefinição de senha, avisos de convite para bolões ou notificações de segurança da conta. Quando combinado com um nome de usuário, ele permite que invasores verifiquem se a pessoa usa a mesma identidade em outros jogos, fóruns ou plataformas sociais.

Um campo de senha com hash não significa que a senha esteja em texto puro; no entanto, senhas fracas, curtas ou reutilizadas ainda representam um risco. Se a mesma senha tiver sido usada em outros serviços, os dados de uma antiga conta de bolões de escritório podem levar a tentativas de login em contas de e-mail, redes sociais ou plataformas de jogos. Por isso, o incidente não deve ser ignorado, mesmo que sua dimensão seja moderada.

Como não há comprovação independente do mês e do dia exatos deste evento, considera-se apenas o ano de 2016 para datar o evento. O sistema normaliza a data para o início do ano; isso não equivale a uma afirmação precisa sobre o dia exato do evento. O índice público acessível informa 56.788 pessoas afetadas e os campos de e-mail, nome de usuário e senha com hash. Como não há registro nas principais listas de verificação, o status de não verificado é mantido.

Informações de nome, número de telefone, endereço físico, cartão de pagamento, data de nascimento, endereço IP, mensagem privada ou transação com dinheiro real não são adicionadas ao registro, pois não estão entre os campos de dados respaldados pelas fontes deste evento. As informações de nome presentes no campo do antigo banco de dados (DB) são excluídas por não terem respaldo suficiente nas fontes. Manter o escopo restrito é necessário para informar ao usuário o nível correto de risco.

O maior risco é para pessoas que reutilizam em outros serviços a senha da conta do Fun Office Pools. Como os serviços de bolões esportivos são usados com amigos, colegas de trabalho ou grupos familiares, nomes de usuário e endereços de e-mail podem ser associados ao círculo social de uma pessoa. Isso pode tornar mais convincentes convites falsos, atualizações falsas de resultados ou mensagens de redefinição de senha.

Usuários que criam contas com um endereço de e-mail corporativo também devem ter cuidado. Esse endereço pode dar aos invasores pistas sobre o local de trabalho da pessoa e levar a tentativas de phishing mais direcionadas, por meio de mensagens falsas sobre atividades no escritório ou bolões esportivos. Mesmo que contas antigas sejam esquecidas, o risco da reutilização de senhas pode persistir.

Se o resultado for positivo, o primeiro passo é identificar em quais outros serviços você reutilizou a senha da conta do Fun Office Pools e escolher uma senha nova e exclusiva para cada conta que use essa mesma senha. Priorize contas de e-mail, redes sociais, plataformas de jogos, contas de compras e contas de trabalho. Ative a autenticação multifator nas contas críticas.

Tenha cuidado com mensagens na caixa de entrada sobre convites para bolões, pontuação dos bolões, redefinições de senha ou segurança da conta. Em vez de abrir links, acesse o serviço correspondente diretamente pelo navegador e não responda a mensagens suspeitas. Verifique também, separadamente, sessões desconhecidas, endereços de recuperação e regras de encaminhamento na conta de e-mail.

Usar uma senha diferente para cada serviço de bolões de escritório, jogos e entretenimento impede que um vazamento em uma plataforma antiga afete outras contas. Escolher uma senha exclusiva para cada serviço com a ajuda de um gerenciador de senhas reduz a probabilidade de uso indevido de listas de senhas com hash nos anos seguintes. Encerre contas que você não usa e verifique regularmente seus endereços de e-mail antigos.

Se o e-mail corporativo for a opção escolhida para serviços de entretenimento ou bolões esportivos usados no ambiente de trabalho, os usuários devem ser alertados sobre mensagens falsas de convite direcionadas a esse endereço. Nos treinamentos, as equipes de segurança devem explicar claramente o impacto da reutilização de senhas, o fato de que serviços antigos podem representar riscos anos depois e a importância da autenticação multifator.

Você pode consultar seu endereço de e-mail no LeakData para saber se ele aparece na lista do Fun Office Pools. Se o resultado for positivo, é necessário agir devido à presença dos campos de e-mail, nome de usuário e senha, mesmo que o incidente esteja na categoria de não verificado. Altere a senha em todas as contas que usam a mesma senha e adicione uma verificação extra às contas críticas.

Mesmo que o resultado seja negativo, vale a pena revisar suas contas antigas de bolões de escritório, jogos e entretenimento. Senhas de serviços antigos podem reaparecer anos depois em diferentes cópias. A abordagem mais confiável é usar senhas exclusivas e autenticação multifator, encerrar contas desnecessárias e manter o hábito de verificar diretamente a legitimidade de mensagens desconhecidas de redefinição de senha.