Vazamento de dados de Glofox

As categorias de dados verificadas são datas de nascimento, endereços de e-mail, gêneros, nomes, senhas e números de telefone. Informações de e-mail e nome podem ser usadas em alertas falsos de login, mensagens de renovação de planos, notificações de reservas ou armadilhas de redefinição de senha. Os números de telefone abrem mais um canal para fraudes por SMS e ligações de falso suporte. As informações de data de nascimento e gênero ajudam o invasor a dar um caráter mais pessoal à mensagem. Essa combinação representa um risco de engenharia social maior do que o vazamento apenas de e-mails.

O campo de senha exige atenção especial. Hashes MD5 sem salt são considerados fracos pelos padrões modernos de segurança; senhas fracas podem ser descobertas rapidamente por tentativas ou comparadas com vazamentos anteriores. Se você reutilizou a mesma senha no e-mail, em contas de academias, nas redes sociais ou em outros serviços online, o risco vai além da conta da Glofox. Mesmo sem confirmação de que as senhas estejam em texto simples, trocar a senha e deixar de reutilizá-la devem ser medidas urgentes, devido à fragilidade desse tipo de hash.

A data verificada do incidente se baseia em dados arquivados de 27 de março de 2020, e a data da listagem é registrada como 10 de janeiro de 2021. Portanto, não é correto interpretar um resultado referente à Glofox em uma busca feita por um usuário como um novo vazamento ocorrido em 2025. Datas posteriores podem estar relacionadas ao reaparecimento dos dados em diferentes listas, à sua verificação ou à inclusão em sistemas; o incidente em si corresponde ao período de março de 2020.

Não foi confirmado que informações financeiras, dados de cartão de crédito ou de formas de pagamento tenham sido expostos. As notificações enfatizam que não há senha em texto simples; por isso, a divulgação não apresenta as senhas como um vazamento em texto simples. Ao mesmo tempo, o uso de um método fraco para proteger os hashes de senha não muda o fato de que os usuários precisam agir. O relato deve evitar afirmações exageradas e explicar claramente o risco combinado dos números de telefone, das datas de nascimento e dos hashes de senha.

O grupo de maior risco é formado por usuários que têm um plano de academia ou estúdio de atividades físicas por meio da Glofox e reutilizam a mesma senha em outras contas. Nesses casos, um invasor pode iniciar tentativas de login em outros serviços usando o endereço de e-mail e o hash de senha dessas pessoas. O segundo grupo é composto por membros que informaram seu número de telefone e sua data de nascimento. Essas informações podem ser usadas em mensagens que parecem personalizadas, como falsas renovações de planos, falsas reservas de aulas, falsos alertas de pagamento ou notificações de segurança da conta.

O terceiro grupo de risco é formado por pessoas que usam o mesmo endereço de e-mail em contas de trabalho, academia, saúde, redes sociais e serviços financeiros. A associação a uma academia não deve ser classificada diretamente como dado de saúde; porém, quando combinada com informações sobre rotina pessoal, estilo de vida e contato no contexto da academia, ela aumenta o risco à privacidade. Por isso, se você encontrar uma correspondência com a Glofox, deve revisar não apenas sua conta da academia, mas todas as contas importantes vinculadas às mesmas credenciais.

O primeiro passo é trocar a senha usada na Glofox ou na conta da academia vinculada por uma senha forte e exclusiva. Se você usou a mesma senha ou uma semelhante em outras contas, escolha senhas novas e diferentes para todas elas. Proteja também sua conta de e-mail, pois os links de redefinição de senha costumam ser gerenciados por e-mail. Ative a autenticação multifator nas contas importantes e, se possível, dê preferência a um aplicativo de códigos de uso único ou a uma chave de segurança.

Para acessar a Glofox, não clique diretamente em links de e-mails e mensagens SMS sobre academias ou reservas. Ao receber avisos de renovação de planos, reservas de aulas, problemas de pagamento ou alertas de segurança da conta, digite o endereço manualmente para verificar a informação. Não compartilhe senhas, códigos de verificação ou informações de pagamento durante ligações telefônicas. Como a data de nascimento e o número de telefone podem ter vazado, essas informações, por si só, não devem ser consideradas prova de identidade em perguntas de autenticação.

A longo prazo, use senhas diferentes nas contas de academia, comércio eletrônico e redes sociais, gere senhas fortes com um gerenciador de senhas e reduza os dados pessoais desnecessários em contas antigas. Informações permanentes, como números de telefone e datas de nascimento, são difíceis de alterar; por isso, podem reaparecer em mensagens fraudulentas mesmo anos após um vazamento. Se você não usa mais sua antiga conta de atividades físicas, revise as configurações da conta, limite as comunicações e reduza as informações desnecessárias no perfil.

O vazamento da Glofox demonstra que, em sistemas de gestão de planos e membros, a segurança das senhas e os dados de perfil pessoal precisam ser protegidos em conjunto. A proteção fraca de senhas armazenadas como hashes, combinada com números de telefone e datas de nascimento, cria riscos de longo prazo. Boas práticas regulares de uso de senhas, segurança do e-mail, atenção a fraudes por SMS e proteção dos canais de recuperação de contas reduzem a probabilidade de reutilização dos dados desses vazamentos antigos.

Se você encontrar uma correspondência com a Glofox no LeakData, deve considerar o resultado como o incidente envolvendo dados de planos de academia e de contas datado de 27 de março de 2020. Uma correspondência não significa necessariamente que dados de cartão de crédito ou de formas de pagamento tenham de fato vazado; porém, os e-mails, números de telefone, datas de nascimento, gêneros, nomes e hashes de senha representam um risco à segurança da conta e podem viabilizar mensagens direcionadas. As ações devem se concentrar na troca de senhas, no reforço da segurança da conta de e-mail e na verificação de notificações falsas recebidas pelo telefone.

A abordagem mais adequada para esse incidente é assumir o controle das contas e reduzir o risco de engenharia social, sem gerar pânico em relação a cartões. Troque sua senha da Glofox, revise todas as contas que usam a mesma senha, ative a autenticação multifator e confira mensagens sobre academias ou reservas pelos canais oficiais de acesso à conta. Essas medidas reduzem significativamente a probabilidade de que um vazamento antigo de dados arquivados seja usado em novas tentativas de fraude.