Vazamento de dados do Lako do posla em 2022

Um artigo de um pesquisador, datado de 7 de setembro de 2022, afirma que o banco de dados do lakodoposla.com havia aparecido on-line alguns dias antes e continha nomes, sobrenomes, endereços de e-mail, senhas e outros campos de aproximadamente 500.000 usuários ativos e inativos. O autor relatou que cerca de 15.000 senhas estavam em texto simples e que o registro mais recente do banco de dados era de 28 de julho. Um artigo local sobre segurança, datado de 23 de setembro, repete o mesmo número de usuários e a mesma constatação sobre as senhas, atribuindo as informações ao pesquisador.

O pesquisador usou uma publicação em um fórum de 10 de agosto e observações históricas da rede para apontar uma provável cadeia de ataque envolvendo inclusão de arquivos locais e acesso ao MySQL disponível externamente. Como o autor descreveu explicitamente essa parte como uma inferência, o método não é apresentado como fato confirmado. Não foi encontrado nenhum comunicado da empresa, registro de órgão regulador ou registro verificado em um índice externo de vazamentos; a identificação do incidente é sustentada pelo relatório técnico independente e pelo conjunto local de dados de e-mail.

A fonte externa descreve aproximadamente 500.000 usuários ativos e inativos; esse número arredondado não resulta de uma análise de e-mails únicos. O processamento concluído no ambiente de produção formou a união dos campos de origem explicitamente destinados a endereços de e-mail com os campos de nome de usuário para login que, por validação agregada, comprovadamente continham endereços de e-mail. Foram excluídos os campos de preferências de notificação, indicadores de e-mail e identificadores ou filtros de e-mail.

O processamento local aceitou 554.899 linhas com o validador canonical-ascii-email-v1 e gravou o mesmo número de associações únicas de e-mail. Seu manifesto de entrada canônica registra a integridade dos arquivos e o escopo das linhas. A quantidade aproximada de usuários informada pela fonte externa e a contagem local de e-mails únicos não são somadas, e não se presume que um e-mail represente uma pessoa, uma conta ou um usuário ativo.

Os dois artigos públicos respaldam explicitamente a presença de nomes, endereços de e-mail e senhas neste incidente. As categorias anteriores de datas de nascimento, gêneros, informações profissionais, nacionalidades, números de telefone, endereços físicos, nomes de usuário e atividade no site foram removidas porque nenhum esquema completo atualmente acessível ou fonte independente voltou a confirmá-las durante esta revisão. A referência do pesquisador a “outros” dados não é específica o suficiente para acrescentar categorias individuais.

As coleções em produção não contêm associações de senhas, nomes, telefones, nomes de usuário, IP, identidade ou dados sensíveis para este incidente; apenas o índice de e-mails está preenchido. Portanto, a constatação do pesquisador sobre aproximadamente 15.000 senhas em texto simples serve como contexto de uma fonte externa e não implica que uma busca local por senhas esteja disponível. O site atual do lakodoposla.com confirma a identidade da plataforma de anúncios de emprego, mas não publica nenhum comunicado sobre o incidente.

Se você tinha uma conta no serviço em 2022 e pode ter reutilizado a senha em outros serviços, deve substituir a senha reutilizada nesses outros serviços por uma senha exclusiva em cada um deles. Essa orientação se baseia na constatação do pesquisador sobre senhas em texto simples; ela não afirma que a senha de todos os usuários era armazenada dessa forma. Mensagens inesperadas apresentadas como candidaturas a vagas, atualizações de currículo ou verificações de conta devem ser verificadas por um canal conhecido, acessado diretamente pelo domínio ativo lakodoposla.com, e não por um link recebido.