Gawker Vazamento de dados

Os tipos de dados verificados são endereços de e-mail, nomes de usuário e senhas. Um endereço de e-mail pode ser usado em mensagens de phishing direcionadas e para estabelecer correspondências com outras contas. Um nome de usuário pode facilitar a associação de contas de redes sociais a antigos perfis de comentários. As informações de senhas afetam diretamente a segurança das contas; especialmente quando a mesma senha é usada em outros serviços, um único vazamento pode representar um risco para muitas contas.

O armazenamento frágil de senhas e a facilidade de adivinhar senhas curtas aumentaram o impacto prático do incidente. Senhas compostas por palavras simples, sequências curtas ou combinações de uso comum puderam ser descobertas rapidamente. Conjuntos de dados desse tipo são usados por invasores para testar combinações de e-mail e senha em outros serviços. O uso indevido observado após o incidente em algumas contas de redes sociais que utilizavam as mesmas credenciais demonstra claramente por que reutilizar senhas é perigoso.

A data do vazamento é registrada como 11 de dezembro de 2010; a data de verificação e inclusão nas bases de dados de vazamentos é registrada como 4 de dezembro de 2013. O número de contas verificadas é de 1.247.574. Embora algumas notícias mencionem números maiores de contas de comentários em sites associados à rede Gawker, esse é o número verificado usado nas consultas de usuários. Além do domínio principal do Gawker, contas de comentários de alguns sites de publicação ligados à rede também foram mencionadas no contexto do incidente.

O alcance é claramente definido. Os campos de dados verificados são endereço de e-mail, nome de usuário e informações de senhas. Dados de cartões de pagamento, contas bancárias, números de documentos oficiais de identificação, números de telefone, endereços físicos ou conteúdo de mensagens privadas não são considerados dados verificados neste incidente. Embora arquivos de sistemas internos e comunicações editoriais sejam tratados como assuntos separados nas notícias, do ponto de vista da segurança dos usuários, o foco deve estar nos riscos ligados à identificação da conta e à reutilização de senhas.

O grupo de maior risco é formado por pessoas que usavam o Gawker ou contas de comentários ligadas à rede Gawker antes de 2010 e que reutilizavam a mesma senha em outros sites. É mais fácil estabelecer correspondências entre contas de pessoas que usam o mesmo nome de usuário em redes sociais, fóruns ou contas de e-mail. Mesmo que a antiga conta em um site de mídia ou de comentários pareça insignificante, o risco aumenta se a mesma senha também era usada em contas de e-mail, redes sociais, compras ou trabalho.

Pessoas que usam senhas simples também correm um risco maior. Palavras curtas, termos de dicionário, sequências de teclado e padrões fáceis de adivinhar eram especialmente frágeis neste caso. Pessoas que se cadastram no Twitter, em fóruns, em espaços de comentários de blogs ou em outras contas de redes sociais com o mesmo endereço de e-mail podem ficar vulneráveis a mensagens direcionadas. Quem já não usa a conta antiga também não está totalmente fora de risco, pois a mesma senha antiga pode continuar ativa em outro serviço.

O primeiro passo é garantir que a senha usada na época do Gawker não esteja ativa em nenhuma conta. Se você usa a mesma senha ou uma semelhante em outros serviços, defina uma senha forte e exclusiva para cada conta. Proteja especialmente sua conta de e-mail, pois a recuperação de outras contas costuma ser feita por e-mail. Nas contas de redes sociais que usavam a mesma combinação de e-mail e senha do Gawker, confira o histórico de login e as notificações de segurança.

Tenha cuidado com mensagens relacionadas ao Gawker ou a antigas contas de comentários. Elas podem se apresentar como alertas falsos de redefinição de senha, notificações de comentários antigos, mensagens de verificação de conta ou notificações de segurança de redes sociais. Em vez de clicar no link, acesse diretamente o serviço em questão e revise o histórico de sessões. Altere as senhas das contas de fóruns e redes sociais criadas com o mesmo nome de usuário e encerre as sessões que você não reconhecer.

No longo prazo, a defesa fundamental é usar uma senha diferente para cada conta de comentários, mídia, fórum e rede social. Um gerenciador de senhas facilita a identificação dos serviços em que uma senha antiga do Gawker foi reutilizada e gera uma senha forte para cada conta. Revise regularmente as contas antigas, encerre os perfis que não usa mais e mantenha atualizados os e-mails de recuperação e as notificações de segurança das contas ativas.

A lição para plataformas de mídia e comentários é clara: as senhas dos usuários devem ser armazenadas com métodos robustos de hashing, a escolha de senhas fracas deve ser reduzida ao mínimo e os acessos suspeitos aos dados devem ser detectados logo no início. Para os usuários, a verificação de senhas reutilizadas, a autenticação de dois fatores, o monitoramento de sessões e a conscientização sobre phishing devem ser tratados em conjunto. O incidente do Gawker mostra que a senha de uma conta de comentários de baixa prioridade pode ter consequências para a segurança de contas de redes sociais e de e-mail.

Se você vir um resultado de correspondência, seu endereço de e-mail ou nome de usuário pode ter estado entre as 1.247.574 contas associadas ao vazamento de dados do Gawker. Esse resultado não significa que suas informações de pagamento ou mensagens privadas tenham vazado. Os campos verificados são endereço de e-mail, nome de usuário e informações de senhas. A primeira verificação é conferir se a senha do Gawker que você usava por volta de 2010 continuou ativa em outras contas.

Se você usava sua antiga senha do Gawker em outros serviços, altere a senha dessas contas. Verifique também sua conta de e-mail, suas redes sociais, suas contas em fóruns e seus antigos perfis de comentários. Examine as notificações de segurança e o histórico de sessões das contas criadas com o mesmo nome de usuário. A abordagem correta para este incidente não é ampliar o conjunto de campos de dados não verificados, mas reduzir os riscos de longo prazo à segurança das contas decorrentes das informações de e-mail, nome de usuário e senhas antigas.