Last.fm Vazamento de dados

Os principais campos confirmados no vazamento da Last.fm são endereços de e-mail, nomes de usuário, senhas e atividade no site. Quando o endereço de e-mail e o nome de usuário aparecem juntos, os invasores podem preparar tentativas personalizadas de adivinhar senhas, alertas de segurança falsos e mensagens de recuperação de conta. Já a atividade no site aumenta o risco de engenharia social com base nas preferências da conta de música do usuário, no uso do perfil e nos comportamentos associados ao serviço.

A presença de senhas em hashes MD5 sem salt é o aspecto mais crítico do risco. O MD5 é considerado fraco segundo os padrões de segurança atuais; senhas armazenadas sem um valor de salt podem ser descobertas mais rapidamente com dicionários e listas de hashes pré-calculados. Se a mesma senha for reutilizada em contas de e-mail, redes sociais, música, jogos ou compras, os invasores poderão testar as credenciais comprometidas em outros serviços. Portanto, o resultado da Last.fm não é apenas um alerta sobre uma conta antiga de música, mas um indicador de segurança da conta de alta prioridade, que exige interromper a reutilização de senhas.

O vazamento ocorreu em março de 2012. O serviço emitiu um alerta aos usuários sobre a segurança das senhas em 2012, mas a verdadeira dimensão do conjunto de dados se tornou mais amplamente conhecida em 2016. O conjunto de contas verificadas contém 37.217.682 endereços de e-mail únicos; relatos mais abrangentes sobre o incidente mencionam cerca de 43 milhões de registros de contas. Essa diferença decorre de contas duplicadas, da limpeza dos dados de e-mail e da distinção entre registros únicos verificáveis.

As categorias de dados desta página se limitam aos campos que podem ser verificados em uma consulta de segurança da conta: endereços de e-mail, senhas, nomes de usuário e atividade no site. Detalhes técnicos não confirmados sobre o incidente e campos adicionais de perfil cuja presença não foi verificada para cada usuário não são apresentados aqui como campos de dados principais. O objetivo é mostrar aos usuários onde o risco real se concentra e destacar as medidas de segurança adequadas, sem gerar medo desnecessário.

O principal grupo de risco é formado por pessoas que têm uma conta na Last.fm, usam o mesmo nome de usuário em diferentes plataformas e reutilizam senhas antigas. Como os serviços de música costumam ser usados em conjunto com perfis sociais, nomes de usuário e conexões com outras plataformas, os invasores podem procurar a mesma identidade em diferentes sites. O fato de o nome de usuário antigo ainda aparecer em contas de redes sociais, e-mail ou jogos aumenta o risco de associação entre contas.

Quem reutiliza senhas corre um risco maior. Mesmo que a senha usada em 2012 não seja mais utilizada hoje, os invasores poderão testar variações semelhantes caso existam novas senhas derivadas do mesmo padrão. Se a conta de e-mail usar uma senha da mesma família, os processos de redefinição de senha de outras contas também poderão ser alvo de ataques. Como as preferências musicais e o comportamento no perfil podem ser usados em mensagens falsas personalizadas, o risco de phishing também não deve ser ignorado.

As senhas devem ser alteradas imediatamente em todas as contas que usam uma senha igual ou semelhante à da Last.fm. A nova senha deve ser única, longa e aleatória, e deve ser armazenada em um gerenciador de senhas. A prioridade deve ser dada às contas de e-mail, redes sociais, serviços de música, contas de jogos e plataformas que contêm informações de pagamento. Acrescentar um número ao final da senha antiga ou fazer pequenas alterações nas letras não oferece proteção suficiente.

A autenticação multifator deve ser ativada em todas as contas que oferecem esse recurso. Na conta de e-mail, devem ser verificados o histórico de acesso, os endereços de recuperação, as regras de encaminhamento e a presença de dispositivos desconhecidos. Tenha cuidado com alertas de segurança falsos que usam a Last.fm ou serviços de música como tema, links de compartilhamento de músicas, mensagens de verificação de perfil e solicitações de redefinição de senha. Verifique o nome de domínio antes de clicar em um link e não informe senhas por meio de mensagens suspeitas.

O incidente da Last.fm mostra que um vazamento ocorrido há muitos anos ainda pode afetar a segurança das contas hoje. Os usuários devem revisar suas senhas antigas regularmente, evitar reutilizar a mesma senha em diferentes serviços e usar aliases de e-mail sempre que possível. Quando os nomes dos perfis sociais, das contas de música e dos usuários em fóruns são muito semelhantes, fica mais fácil para os invasores associar as contas.

Para uma proteção duradoura, devem ser usados em conjunto um gerenciador de senhas, uma política de senhas únicas, autenticação multifator e notificações de sessões. Contas antigas sem uso devem ser encerradas ou, no mínimo, protegidas com uma senha forte. Em ambientes corporativos, devem ser implementadas verificações de senhas vazadas, capacitação em segurança e políticas de verificação adicional para evitar que os funcionários reutilizem, nas contas de trabalho, as senhas de suas contas pessoais de música e redes sociais.

Se o resultado da Last.fm aparecer na verificação de segurança da conta, isso significa que o endereço de e-mail em questão está incluído no conjunto de contas verificadas associado ao vazamento de dados da Last.fm de 2012. Esse resultado não significa que sua conta atual da Last.fm esteja comprometida hoje; no entanto, indica que o nome de usuário, o endereço de e-mail e as informações de senha usados no passado podem estar sujeitos a uso indevido. O risco é maior se a mesma senha tiver sido usada em outras contas.

O primeiro passo é proteger sua conta de e-mail e, em seguida, atualizar individualmente todas as contas que usam uma senha igual ou semelhante. Se houver sessões suspeitas, dispositivos desconhecidos, mensagens inesperadas de redefinição de senha ou notificações estranhas enviadas pela sua conta, encerre as sessões e inicie uma revisão pela central de segurança do serviço correspondente. Abandonar completamente a reutilização de senhas, atualizar contas antigas de música e redes sociais e ter cautela com mensagens de phishing são as ações mais eficazes que você pode tomar diante de resultados da Last.fm.