Vazamento de dados de GeniusU

Os tipos de dados verificados são endereços de e-mail, nomes, endereços IP, localizações geográficas, informações de gênero, perfis em redes sociais e senhas. O endereço de e-mail é o principal ponto de conexão para um invasor procurar o usuário em diferentes serviços. O nome e os links de perfis podem corresponder à presença pública da pessoa em uma comunidade profissional ou de empreendedorismo. O endereço IP e as informações de localização podem fornecer pistas adicionais sobre o contexto de acesso do usuário. As informações de gênero, embora não sejam suficientes por si só para comprometer uma conta, podem ser usadas em mensagens personalizadas.

O campo de senha deve ser tratado como valores de hash protegidos por bcrypt, e não como valores em texto simples. Esse tipo de armazenamento é mais seguro do que o armazenamento em texto simples; no entanto, os riscos persistem quando as senhas são fracas ou reutilizadas. Invasores podem tentar usar, em outros serviços, combinações obtidas a partir de e-mails e hashes de senhas. Links de perfis em redes sociais e informações de nome podem tornar mais convincentes mensagens como convites falsos para mentoria, notificações de eventos, acesso a cursos, mensagens de redes de investimento ou alertas de segurança da conta. Portanto, o risco não se limita à conta em uma única plataforma.

A data registrada para o vazamento é 2 de outubro de 2020, e a data de inclusão em índices abrangentes de vazamentos é 8 de janeiro de 2021. O número de contas verificadas para a busca de usuários é 1.301.460. A decisão regulatória afirma que os dados pessoais de aproximadamente 1,26 milhão de usuários foram afetados e identifica o conjunto de dados afetado como nome, endereço de e-mail, localização e endereço IP do último acesso. O comunicado da empresa informa que os campos de nome, e-mail, hash de senha e localização foram afetados. Os índices de vazamentos também incluem informações de gênero e links de perfis em redes sociais como categorias adicionais de dados.

É importante deixar claro o que está fora do escopo. Não há confirmação de vazamento de informações de cartões de crédito, contas bancárias, dados de saúde, números de documentos oficiais de identificação, conteúdo de mensagens privadas ou transações de pagamento neste incidente. O termo correto para as senhas não é senha em texto simples, mas informações de senha em formato de hash. Em uma decisão regulatória confiável, a causa do incidente é associada ao comprometimento de uma conta de desenvolvedor e à descoberta de credenciais de banco de dados no ambiente de código. No texto público destinado aos usuários, o risco principal deve ser avaliado com base nas categorias de dados verificadas e nas precauções que o usuário deve tomar.

Empreendedores, instrutores, mentores, estudantes, membros de comunidades e pessoas que acompanham conteúdos de desenvolvimento profissional e que abriram uma conta na GeniusU compõem o primeiro grupo de risco. Quem usa a plataforma com um e-mail corporativo enfrenta um risco maior de receber mensagens direcionadas, pois o endereço de e-mail e o nome podem corresponder à sua identidade profissional. Usuários com links de perfis em redes sociais podem ser associados a contas em outras redes. Quando há informações de localização e endereço IP, fica mais fácil adaptar as mensagens a contextos locais ou regionais.

Quem usa a mesma senha em diferentes contas de plataformas educacionais, redes profissionais, e-mail ou redes sociais deve ter mais cautela. Em comunidades de empreendedorismo e educação, os usuários costumam compartilhar, em conjunto, um perfil público, sua participação em eventos e links de redes sociais. Essas informações podem ser exploradas em tentativas de engenharia social, como convites falsos para eventos, mensagens de investidores, reuniões com mentores, notificações de certificados ou alertas de acesso a cursos. Pessoas que já não usam suas contas antigas também não são consideradas livres de risco; e-mail, nome e links de perfis podem continuar válidos por muito tempo.

Se você identificar que foi afetado, verifique primeiro se a senha que usava na GeniusU também é usada em outras contas. Se a mesma senha, ou uma senha semelhante, tiver sido usada em outros serviços, defina uma senha única, longa e forte para cada conta. Priorize contas de e-mail, gerenciadores de senhas, contas em redes sociais, contas em redes profissionais e plataformas educacionais. Se você tiver acesso à conta da GeniusU, revise as sessões, os perfis sociais conectados, a visibilidade do perfil, o campo de localização e as preferências de e-mail.

Não abra diretamente links sobre acesso a cursos, convites para mentoria, ingressos de eventos, certificados, redes de investimento, redefinição de senha ou segurança da conta. Se precisar acessar o serviço, digite o endereço manualmente no navegador ou use uma tela oficial de login que você já conhece. Não compartilhe códigos de verificação nem senhas solicitados por telefone, e-mail ou redes sociais. Se você usa um e-mail corporativo, informe à equipe interna de segurança que esse endereço foi identificado no vazamento e certifique-se de que a mesma senha não seja usada em ferramentas de trabalho.

No longo prazo, usar senhas únicas em contas de plataformas educacionais, comunidades e serviços de trabalho é a defesa fundamental. Um gerenciador de senhas facilita a identificação de senhas antigas e reutilizadas. Compartilhe links de perfis em redes sociais apenas quando necessário e revise regularmente os campos públicos do seu perfil. Usar um endereço de e-mail separado para contas de comunidades profissionais dificulta a associação entre suas identidades pessoal e profissional no mesmo vazamento. Se o campo de localização não for obrigatório, reduza as informações fornecidas nele ao mínimo.

Plataformas externas de treinamento e contas em redes de negócios devem ser tratadas como um cenário específico nos treinamentos sobre phishing para usuários corporativos. Para contas de desenvolvedores, repositórios de código e acesso a bancos de dados, a autenticação multifator, as ferramentas de gerenciamento de segredos e as auditorias regulares de acesso devem ser obrigatórias. No âmbito individual, manter os alertas de conta ativados, limitar as conexões em redes sociais, verificar convites para eventos desconhecidos e encerrar contas antigas em comunidades ajudam a reduzir o risco de forma duradoura.

Se um vazamento da GeniusU aparecer no resultado da busca, seu endereço de e-mail pode ter sido incluído em um conjunto de dados verificado de 1.301.460 contas. Esse resultado não significa que dados do seu cartão de pagamento, da sua conta bancária, da sua saúde ou o número do seu documento oficial de identificação tenham vazado. Os campos verificados são endereço de e-mail, nome, endereço IP, localização, informações de gênero, links de perfis em redes sociais e hash de senha. A primeira verificação é saber se a senha usada na GeniusU foi reutilizada em outras contas.

Se a senha tiver sido reutilizada, altere-a nas contas correspondentes, uma por uma, e ative a verificação adicional sempre que possível. Reduza os links de perfis, as informações no campo de localização e os dados pessoais disponíveis publicamente quando não forem necessários. Não abra links suspeitos sobre atividades, cursos, mentores, certificados ou segurança da conta. Acesse o serviço pelo endereço conhecido e verifique as configurações de segurança da sua conta de e-mail. A abordagem correta para este incidente é reduzir o risco de longo prazo à segurança das contas decorrente do e-mail, do perfil, da localização, do IP e do hash de senha, em vez de amplificar alegações financeiras não verificadas.