Vazamento de dados de Gemplex

Os tipos de dados verificados são informações de dispositivos, endereços de e-mail, nomes, números de telefone e senhas. O endereço de e-mail é o principal elo para que um invasor procure o usuário em outros serviços e associe a mesma identidade a diferentes conjuntos de dados. Com a inclusão do nome, as mensagens parecem pessoais. O número de telefone aumenta o risco de golpes por mensagens de texto e chamadas. As informações de dispositivos podem dar pistas sobre o ambiente usado para acessar o serviço de streaming; isso pode ser explorado em abordagens como falso suporte, verificação de dispositivo ou notificações de atividade da conta.

Foi verificado que o campo de senha contém hashes protegidos com bcrypt. Esse método de armazenamento é mais resistente do que o uso de senhas em texto simples; ainda assim, há riscos para senhas fracas, curtas ou reutilizadas. Invasores podem testar as combinações de e-mail e senha comprometidas em outros serviços. Mensagens que incluem nome, telefone e informações de dispositivos podem dar a impressão de que o usuário realmente recebeu um alerta de segurança relacionado à sua conta da Gemplex. Portanto, o risco não se limita a uma única conta: ele também pode se estender a outras contas criadas com o mesmo e-mail ou número de telefone.

A data verificada do vazamento é 18 de fevereiro de 2021, e a entrada nos sistemas de registro consta como 9 de dezembro de 2023. O impacto total é de 4.563.166 contas. As categorias de dados são informações de dispositivos, endereços de e-mail, nomes, números de telefone e hashes de senhas. Para uma busca de usuário, a quantidade de registros deve ser avaliada considerando contas únicas; o número arredondado de 4,6 milhões mencionado em diferentes contextos é uma representação aproximada desse total. Não se deve presumir que todos os usuários tenham o mesmo nível de detalhamento, pois alguns campos podem estar presentes apenas em determinadas contas.

Também é importante deixar claro o que está fora do escopo. Dados de cartão de pagamento, conta bancária, número de documento oficial de identificação, endereço físico, histórico de navegação, conteúdo assistido ou mensagens privadas não são categorias verificadas neste incidente. As informações confiáveis disponíveis publicamente sobre a causa técnica do incidente são limitadas; por isso, a explicação se concentra nos campos de dados verificados, sem especular sobre a causa. O risco apresentado ao usuário deve se restringir ao vazamento de dados da conta de streaming e de contato; alegações não comprovadas sobre dados de pagamento ou documentos oficiais de identificação não devem ser incluídas.

O primeiro grupo em risco inclui quem criou uma conta na Gemplex, usa o serviço de streaming on-line sediado na Índia ou se cadastra em assinaturas de mídia com o mesmo endereço de e-mail. Usuários que adicionam o número de telefone à conta correm maior risco de engenharia social. Se a mesma senha for usada em outros serviços, o risco aumenta ainda mais, pois invasores podem testar combinações de e-mail e senha em diferentes telas de login. Quem não usa mais a conta antiga também não está livre de risco, já que o e-mail e o número de telefone podem continuar em uso por muito tempo.

Quem compartilha um dispositivo com familiares, cria uma conta de mídia com um e-mail de trabalho ou recebe mensagens de suporte pelo telefone deve ter cuidado redobrado. Um invasor pode enviar mensagens sobre renovação de assinatura, verificação de dispositivo, acesso a conteúdo, desconto, encerramento de conta ou redefinição de senha. As mensagens podem parecer mais autênticas quando a conta tem informações de dispositivos. Por isso, além da segurança da senha, é necessário verificar a autenticidade das notificações da conta recebidas por telefone e e-mail.

Se você identificar que foi afetado, verifique primeiro se a senha usada na Gemplex também é usada em outras contas. Se você usa a mesma senha ou uma senha semelhante em outro lugar, defina uma senha exclusiva, longa e forte para cada conta. Dê prioridade à conta de e-mail, ao gerenciador de senhas, às contas financeiras, às redes sociais e a outros serviços de publicação. Se você ainda consegue acessar a conta da Gemplex, revise as sessões, os dispositivos conectados, o número de telefone e as preferências de e-mail. Se houver opções adicionais de verificação compatíveis com o serviço, ative-as.

Não abra diretamente links de mensagens sobre Gemplex, assinatura, pagamento, verificação de dispositivo ou alertas de segurança. Se precisar acessar o serviço, digite o endereço manualmente no navegador ou use um aplicativo oficial conhecido. Recuse solicitações de senha, pagamento ou códigos de verificação recebidas por telefone. Se receber uma mensagem suspeita, confira o histórico de login da conta sem clicar no link e verifique os alertas de acessos incomuns em outros serviços vinculados ao mesmo endereço de e-mail. Essas medidas reduzem o risco de tomada de controle da conta mesmo depois que os dados já circularam.

A longo prazo, use senhas diferentes para contas de serviços de publicação, jogos, compras e redes sociais. Um gerenciador de senhas facilita a criação de senhas exclusivas para cada serviço e a localização de senhas antigas. Não informe seu número de telefone em contas nas quais ele não seja obrigatório e prefira um endereço de e-mail separado para contas de mídia e entretenimento. Periodicamente, encerre contas que você não usa ou reduza as informações pessoais mantidas nelas. Assim, a quantidade de dados que pode ser exposta em um vazamento futuro fica mais limitada.

Em vazamentos que envolvem informações de dispositivos, a segurança não deve ser considerada apenas uma questão de senhas. Verifique periodicamente os dispositivos vinculados às suas contas e as preferências de notificação. Encerre sessões deixadas abertas em celulares antigos, tablets compartilhados e computadores de uso coletivo. Treinamentos sobre phishing também devem abordar temas como assinaturas de mídia, acesso a conteúdo e verificação de dispositivos. No dia a dia, denunciar mensagens de texto suspeitas, não compartilhar informações em chamadas de desconhecidos e manter os alertas da conta ativados ajuda a reduzir o risco de forma duradoura.

Quantidades de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são tratados como parte do escopo público do incidente. Este resultado não significa que os dados do seu cartão de pagamento, documento oficial de identificação, histórico de navegação ou endereço físico tenham vazado. Os campos verificados são informações de dispositivos, endereço de e-mail, nome, número de telefone e hash de senha protegido com bcrypt. A primeira verificação é determinar se a senha usada na Gemplex foi reutilizada em outras contas.

Se você reutilizou a senha, altere a senha de cada conta afetada, uma por uma, e ative a verificação adicional sempre que possível. Tenha cuidado com mensagens de texto sobre assinatura, verificação de dispositivo ou segurança da conta, pois seu número de telefone também pode ter sido afetado. Não abra links suspeitos; acesse o serviço por endereços conhecidos ou pelo aplicativo oficial. Confira a atividade de login em outras contas de mídia e redes sociais que usam o mesmo endereço de e-mail. A abordagem correta para este incidente é reduzir os riscos de longo prazo à segurança das contas decorrentes de e-mail, telefone, informações de dispositivos e hashes de senhas antigas, em vez de ampliar alegações sobre tipos de dados não verificados.