Vazamento de dados de Lazada RedMart

As categorias de dados confirmadas no vazamento da Lazada RedMart incluem endereços de e-mail, nomes e sobrenomes, números de telefone, endereços físicos, dados parciais de cartão de crédito e hashes de senhas. Esse conjunto de dados, por si só, não implica acesso completo aos meios de pagamento; no entanto, a combinação do nome do cliente, endereço de entrega, telefone e e-mail pode ser usada para criar pedidos falsos, solicitações falsas de suporte e mensagens sobre segurança da conta altamente convincentes. Como os dados parciais do cartão podem incluir os primeiros seis e os últimos quatro dígitos, o nome do titular, a data de validade ou campos de contato para cobrança, os usuários precisam acompanhar suas faturas e notificações com mais atenção.

• Endereços de e-mail: Podem ser usados em phishing com temas da RedMart e da Lazada, descontos falsos, notificações falsas de entrega e mensagens de recuperação de conta.
• Nome, telefone e endereço: Aumentam a capacidade de direcionar abordagens a uma pessoa; um golpista pode tentar convencer o usuário imitando a linguagem de pedidos e entregas reais.
• Hashes de senhas: SHA-1 é um método antigo que pode ser quebrado rapidamente. O risco de tomada de controle da conta aumenta para quem usa a mesma senha em outras contas.
• Dados parciais de cartão de crédito: Não equivalem às informações completas do cartão; ainda assim, podem ser usados indevidamente em situações como ligações falsas de bancos, pretextos de renovação de cartão ou confirmações falsas de pagamento.
• Endereços físicos: Quando combinados com informações de entrega e cobrança, aumentam o risco de assédio direcionado ao endereço residencial, mensagens direcionadas e tentativas de contornar a verificação de identidade.

O registro verificado do vazamento informa a data de 30 de julho de 2020 e um impacto de 1.107.789 contas/e-mails. Relatos da época afirmaram que os dados da RedMart foram colocados à venda e que os registros abrangiam o período até julho de 2020. A decisão oficial sobre proteção de dados em Singapura informa que os dados foram extraídos em 6 de setembro de 2020, afetando 898.791 pessoas. Esses dois números representam níveis distintos de medição: um é uma métrica do índice baseada em contas ou e-mails; o outro é a contagem de pessoas usada na análise oficial. Portanto, o registro deve manter o total de 1.107.789 entradas, e a contagem oficial de pessoas deve ser entendida como uma observação separada sobre o escopo na descrição.

O escopo se limita a dados antigos de clientes e fornecedores da RedMart. Não se deve apresentar como fato verificado que dados atuais de clientes da Lazada ou todas as contas da Lazada na região foram comprometidos. A aquisição da RedMart pela Lazada explica a associação entre os nomes; no entanto, o conjunto de dados verificado do vazamento corresponde a registros dos sistemas antigos da RedMart. Além disso, tipos de dados como número de seguridade social, passaporte, informações de saúde, número completo do cartão, CVV ou conta bancária não devem ser acrescentados a este registro, pois estão fora dos campos verificados.

O maior risco recai sobre usuários que reutilizam a senha da conta RedMart em contas de e-mail, compras, serviços bancários, redes sociais ou trabalho. Embora os hashes de senhas não estejam em texto simples, SHA-1 é um tipo de hash antigo e rápido que permite testar possíveis senhas. Por isso, senhas fracas, curtas ou já vazadas podem ser descobertas rapidamente. Para quem acessa muitos serviços com o mesmo endereço de e-mail, este registro pode se transformar em um problema de segurança muito mais amplo do que o de uma única conta de compras.

Usuários cujos endereços e telefones foram vazados também ficam mais suscetíveis a fraudes direcionadas. Golpistas podem combinar nomes reais, endereços reais de entrega e informações parciais de cartão para criar situações falsas envolvendo atendimento ao cliente, devoluções, taxas de entrega, suspensão de conta ou verificação de cartão. Quem não compra na RedMart há muito tempo também não deve ser considerado livre de riscos, pois conjuntos de dados antigos podem ser usados em phishing e no cruzamento de perfis mesmo anos depois.

Troque imediatamente a senha que você usava na sua conta RedMart ou Lazada por uma senha forte e exclusiva. Se você usou a mesma senha ou uma senha semelhante em outros serviços, atualize também cada uma dessas contas. Dê prioridade às contas de e-mail, serviços financeiros, compras, redes sociais e trabalho. Apenas fazer uma pequena alteração na senha não é suficiente; se a senha antiga seguir um padrão previsível, os invasores também poderão testar essas variações.

1. Ative a autenticação multifator: Use autenticação por aplicativo ou uma chave de segurança em todas as contas que ofereçam esse recurso.
2. Acompanhe as faturas: Devido à exposição de dados parciais do cartão, fique atento a transações de baixo valor e desconhecidas.
3. Não confie em mensagens falsas de suporte: Se pedirem sua senha, um código de uso único, o número completo do cartão ou o CVV, interrompa o processo.
4. Reduza os riscos relacionados ao endereço e ao telefone: Não abra links enviados sob o pretexto de entrega, devolução ou impostos fora do aplicativo ou site oficial.
5. Verifique as sessões da conta: Se houver um dispositivo desconhecido, um novo endereço de entrega, uma alteração no cartão cadastrado ou uma tentativa suspeita de pedido, bloqueie a conta.

Este incidente mostra que contas de comércio eletrônico contêm não apenas o histórico de compras, mas também informações de identidade, endereço, telefone e contexto de pagamento. A longo prazo, é necessário usar uma senha exclusiva para cada site de compras, gerar senhas aleatórias com um gerenciador de senhas e manter a conta de e-mail sob um nível elevado de proteção, separado das demais contas. Revisar regularmente contas antigas, encerrar cadastros não utilizados e reduzir a quantidade de cartões salvos diminui a exposição a riscos pessoais.

Para evitar o uso indevido de informações de endereço e telefone, é importante avaliar as mensagens recebidas dentro de seu contexto. Uma mensagem não deve ser considerada confiável apenas porque informa seu nome real, o bairro de entrega ou os últimos quatro dígitos do seu cartão. A lição para as empresas também é clara: dados de clientes que permanecem em sistemas antigos representam um risco ativo e precisam ser protegidos, mesmo quando estão separados do fluxo atual de clientes. Limites de permissão, autenticação separada, prevenção do armazenamento desnecessário de dados, registros robustos de atividades e processos ágeis de notificação reduzem o impacto de incidentes desse tipo.

Se seu endereço de e-mail aparecer neste registro, verifique primeiro seu histórico na RedMart/Lazada e quaisquer outras contas em que você use a mesma senha. Uma correspondência não significa que os dados completos do seu cartão ou toda a sua conta Lazada tenham sido comprometidos; o escopo verificado inclui dados antigos de clientes associados à RedMart, dados parciais de cartão e hashes de senhas. Ainda assim, é necessário tomar medidas contra phishing, tomada de controle da conta e fraudes direcionadas.

Mesmo que seu e-mail não apareça no registro, se você já usou a RedMart, vale a pena tomar precauções básicas: usar uma senha exclusiva, ativar a autenticação multifator, acompanhar as faturas, ter cautela com mensagens suspeitas e excluir cartões salvos desnecessários. Se seu endereço de e-mail aparecer neste vazamento, não há motivo para pânico; no entanto, continuar usando a mesma senha em outros serviços aumenta o risco. Uma abordagem segura é isolar a conta afetada, deixar de compartilhar senhas entre ela e outras contas e ter mais critério diante de tentativas de engenharia social que usem informações do seu telefone ou endereço.