Vazamento de dados da HauteLook em 2018

As categorias verificadas são datas de nascimento, endereços de e-mail, gêneros, localizações geográficas, nomes e hashes de senha. Combinados, esses campos podem ajudar a criar e-mails, mensagens de texto ou solicitações de suporte que pareçam personalizadas para um cliente. Informações sobre nome, data de nascimento e localização podem tornar mais convincentes os contatos fraudulentos sobre problemas de entrega, ofertas de desconto, renovação da adesão ao serviço ou verificação de pagamento.

As senhas foram listadas como hashes bcrypt, e não como texto simples legível. Isso não significa que elas estavam diretamente visíveis, mas senhas fracas ou reutilizadas ainda podem representar um risco com o tempo. Uma correspondência que inclua um hash de senha não prova que uma senha atual tenha sido recuperada. A decisão de segurança adequada depende da reutilização de senhas e da proteção atual das contas envolvidas.

As categorias verificadas não incluem números de cartões de pagamento, números de telefone ou endereços físicos. Isso não significa que nenhum outro registro do serviço tenha sido afetado; apenas delimita este evento verificado. Também não se deve presumir que todos os tipos de dados estejam presentes em cada correspondência. Você deve tratar uma correspondência como um sinal de risco pessoal, sem considerar fatos os detalhes não comprovados.

A data nesta página é 7 de agosto de 2018, e a contagem canônica de registros é 28.510.459. Esse número representa o escopo verificado de e-mails; não é o total de clientes já atendidos, de contas ativas ou da base atual de usuários. Como o mesmo endereço de e-mail pode aparecer em mais de um registro, o total de registros não pode ser convertido diretamente em uma contagem de pessoas distintas.

A HauteLook é classificada como um serviço de compras online voltado à moda. Este evento está associado apenas a esse serviço, e outras marcas ou sites de compras que possam pertencer a um grupo empresarial relacionado não entram automaticamente no escopo. A presença de uma pessoa em um registro da HauteLook não prova que ela tinha uma conta em outro varejista nem que outras contas foram afetadas por este evento.

As informações verificadas não determinam o ponto de partida da intrusão, a identidade de um invasor, quando cada arquivo de dados foi copiado ou quais clientes foram notificados. A data identifica o período associado ao evento; por si só, não mostra quando os dados apareceram pela primeira vez online nem quando cada conta foi usada pela última vez. Essas incertezas não diminuem a importância do evento, mas exigem cautela com afirmações técnicas que não podem ser confirmadas.

Quem reutilizou uma senha da HauteLook em outra conta de compras, e-mail ou rede social deve ter a maior prioridade. A proteção com bcrypt não elimina o risco relacionado às senhas; senhas curtas, previsíveis ou reutilizadas podem ser testadas em outros sistemas. Se você usa o mesmo endereço de e-mail para entrar em vários serviços, revise seus hábitos de uso de senhas, especialmente em cadastros mais antigos.

Se a correspondência com seus dados incluir data de nascimento, nome e contexto geográfico, fique alerta a fraudes personalizadas. Um invasor pode usar esses detalhes em mensagens sobre atrasos na entrega, pontos de fidelidade, cupons, renovação da adesão ao serviço ou confirmação de pedido. A presença de informações pessoais em uma mensagem não prova que o remetente seja um varejista legítimo.

Contas antigas de compras que já não são usadas ativamente também merecem atenção. O endereço de e-mail cadastrado ainda pode ser um meio de recuperação de acesso a serviços mais recentes. Se você continua usando a mesma caixa de e-mail, examine com cuidado sessões desconhecidas, regras de encaminhamento, opções de recuperação e avisos inesperados de redefinição de senha.

Primeiro, se uma senha usada na HauteLook também foi usada em outros serviços, troque as senhas desses serviços por senhas fortes e exclusivas. Se a conta ainda estiver acessível, altere também a senha dela e ative a autenticação multifator onde essa opção estiver disponível. Contas de e-mail são meios de recuperação de acesso a muitos serviços, por isso a revisão da senha da caixa de e-mail e dos dados de recuperação deve ser prioritária.

Verifique a atividade das contas e a caixa de entrada do e-mail em busca de eventos incomuns. Ao receber um aviso de acesso desconhecido, uma oferta de cupom, um alerta de pedido ou uma mensagem de redefinição de senha, examine o domínio do remetente e a ação solicitada antes de abrir um link. Para confirmar um alerta, acesse diretamente o endereço oficial conhecido do serviço, em vez de seguir o endereço fornecido na mensagem.

Use o canal oficial de suporte do serviço em questão quando houver atividade suspeita. Revogue o acesso quando as configurações da conta mostrarem um dispositivo, uma sessão, um endereço de recuperação ou um aplicativo conectado que você não reconheça. Dados de cartões de pagamento não estão entre as categorias verificadas, mas ainda é prudente acompanhar alertas bancários e de cartões em busca de atividade incomum quando uma conta de compras online tem uma forma de pagamento salva.

Usar uma senha longa e diferente para cada site de compras e serviço online é uma das formas mais eficazes de proteção. Um gerenciador de senhas pode gerar senhas aleatórias e reduzir a reutilização. Onde houver autenticação multifator, prefira um aplicativo autenticador ou uma chave física de segurança; códigos enviados por mensagem de texto acrescentam proteção, mas não impedem todas as tentativas convincentes de fraude.

Limite o fornecimento de informações de perfil não essenciais, como data de nascimento, gênero, localização e preferências de contato, nas contas de compras. Revisar os dados visíveis do perfil e os endereços salvos em contas antigas deixa menos contexto disponível para futuras abordagens direcionadas. Reduzir o compartilhamento com terceiros nas configurações de privacidade do serviço também pode limitar a distribuição desnecessária de informações pessoais.

Revise regularmente a segurança da recuperação de acesso às contas. Endereços de e-mail secundários, números de telefone, dispositivos conectados e sessões precisam ser mantidos atualizados. Mantenha os alertas de acesso ativados sempre que for viável e reaja rapidamente ao identificar uma sessão desconhecida ou uma alteração de endereço. Esses hábitos protegem todas as contas de clientes, não apenas as de pessoas com correspondência neste evento.

Use a consulta aos registros nesta página para verificar se seu endereço de e-mail tem uma correspondência com o evento da HauteLook. Uma correspondência indica que o endereço está dentro do escopo verificado; não prova que todos os tipos de dados estavam presentes no seu registro, que uma senha foi recuperada ou que uma conta atual foi comprometida. Use o resultado como um sinal de risco pessoal para priorizar a revisão da reutilização de senhas e das configurações de recuperação de acesso às contas.

Se não houver correspondência, ainda pode ser útil lembrar de endereços de e-mail antigos, cadastros alternativos e contas de compras encerradas. A ausência de correspondência não garante que nenhuma informação pessoal exista em outros locais online. Senhas exclusivas, autenticação multifator, revisão rotineira das contas e confirmação independente de mensagens suspeitas continuam sendo a defesa mais confiável.