Vazamento de dados de Gab

Quantidades de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente. As informações de nome e avatar também facilitam o reconhecimento de um mesmo perfil. Mesmo que esses campos, isoladamente, não sejam suficientes para fraudes financeiras, eles fornecem um contexto relevante para phishing direcionado, notificações falsas de segurança, danos à reputação e tentativas de tomada de controle de contas. Os nomes de usuário usados em redes sociais costumam ser mantidos por muito tempo; por isso, até mesmo um vazamento antigo pode ser útil para associar perfis atuais.

Armazenar o campo de senha no formato de hash bcrypt oferece uma proteção maior do que armazenar senhas em texto simples. Ainda assim, senhas fracas, curtas ou reutilizadas continuam apresentando riscos. Se a mesma senha for usada em outras contas, invasores podem combinar dados de vazamentos antigos com novas tentativas de login. O conteúdo das mensagens não deve ser considerado verificado para cada usuário, mas quem tiver uma correspondência positiva não deve ignorar o risco para a confidencialidade das comunicações.

O número de correspondências únicas verificadas por email para este registro deve ser mantido em 66.521. A informação de que o extenso arquivo de dados contém milhões de contas e conteúdo público é um contexto separado; esse valor não deve ser apresentado diretamente como o número de pessoas que podem ser encontradas em consultas por email. A quantidade de registros se refere a correspondências únicas com um endereço de email. Uma única pessoa pode ter várias contas, ou algumas contas podem não conter nenhum campo de email ou senha.

As categorias de dados verificadas são avatares, endereços de email, nomes, senhas, mensagens privadas e nomes de usuário. Números de telefone, endereços físicos, cartões de pagamento, números de documentos oficiais de identificação, datas de nascimento ou dados bancários não devem ser acrescentados a essa lista. O campo de mensagens privadas também deve ser entendido como uma indicação de que apenas um número limitado de registros de conversas está presente no arquivo; não se deve presumir que mensagens privadas tenham vazado para cada registro. Essa limitação mostra claramente ao usuário tanto o risco real quanto os aspectos que permanecem incertos.

O maior risco recai sobre usuários que reutilizam o endereço de email, o nome de usuário ou a senha da conta do Gab em outras redes sociais, fóruns, contas de email ou contas usadas para publicação de conteúdo. Manter o mesmo nome de usuário em diferentes plataformas facilita a associação entre perfis. Ao combinar o nome, o avatar e o nome de usuário da conta na rede social, invasores podem criar notificações falsas e tentativas de redefinição de senha mais convincentes.

Usuários que evitam a exposição pública por causa de suas mensagens privadas ou do contexto de seu conteúdo nas redes sociais também estão em risco. Mesmo que uma conta seja antiga, inativa ou abandonada, o nome de usuário e o endereço de email usados anteriormente ainda podem ser analisados para estabelecer vínculos com outras contas. Pessoas em situações sensíveis no trabalho, na família ou na comunidade, ou em relação à exposição na mídia, devem considerar não apenas a segurança das senhas, mas também o risco de associação entre perfis e de comunicações falsas.

Neste vazamento, os usuários cujos endereços de email estavam presentes devem garantir que a senha usada na conta do Gab não seja válida em nenhuma outra conta. Se a mesma senha, ou uma senha semelhante, tiver sido usada em contas diferentes, as senhas de todas as contas envolvidas devem ser substituídas por senhas longas, exclusivas e difíceis de adivinhar. Usar um gerenciador de senhas torna esse processo mais confiável. Ao alterar senhas, não se deve considerar suficiente apenas acrescentar um ano, um símbolo ou uma letra minúscula ao final.

A autenticação de dois fatores deve ser ativada nas contas de email e nas contas de redes sociais. Se houver dispositivos desconhecidos, sessões inesperadas, notificações de redefinição de senha ou mensagens de segurança suspeitas no histórico de atividades da conta, as sessões devem ser encerradas e as opções de recuperação por email e telefone devem ser revisadas. Ao receber chantagens, ameaças ou mensagens enganosas relacionadas ao conteúdo de mensagens privadas ou às informações do perfil, os usuários devem verificar a autenticidade da mensagem por meios independentes antes de clicar em qualquer link.

Uma estratégia de segurança de longo prazo para contas em redes sociais não deve se limitar à troca de senhas. Quando nomes de usuário, fotos de perfil e endereços de email são os mesmos em diferentes plataformas, as contas podem ser facilmente associadas. Usuários que desejam preservar a privacidade devem preferir endereços de email distintos e padrões diferentes de nomes de usuário em cada serviço. Contas que não são usadas devem ser encerradas. Nas contas que não puderem ser encerradas, os campos com informações pessoais do perfil devem ser reduzidos ao mínimo, e as senhas devem ser exclusivas.

Quando mensagens privadas, informações de perfil e hashes de senhas são expostos no mesmo incidente no provedor do serviço, a resposta ao incidente deve ser conduzida com mais cuidado. Armazenamento seguro de senhas, controle de acesso, segmentação de dados, testes regulares de segurança e processos de notificação aos usuários são requisitos básicos. Nas notificações, o número de registros verificados que contêm email/senha deve ser explicado separadamente do escopo mais amplo do arquivo. Essa distinção permite que os usuários tomem decisões adequadas, sem entrar em pânico e sem subestimar o risco.

Durante a verificação de registros por violações de regras, o resultado indica se o endereço de email informado está presente neste conjunto de dados verificado. Se o resultado for positivo, o endereço de email, o nome de usuário, o nome, o avatar, o hash da senha e o risco limitado associado às mensagens privadas devem ser avaliados em conjunto. Se o resultado for negativo, isso significa que nenhum registro foi encontrado neste conjunto específico de correspondências por email; não prova que a pessoa não apareça com outro nome de usuário no arquivo mais amplo ou em outro incidente.

A conduta adequada é abandonar completamente as senhas antigas, substituir todas as senhas reutilizadas, ativar a proteção com múltiplos fatores nas contas de email e nas redes sociais, revisar nomes de usuário repetidos que possam permitir a associação entre perfis e ter cautela com mensagens suspeitas. Mesmo um vazamento antigo pode gerar um risco atual quando informações de identidade na rede social, email e senha são encontradas em conjunto.