Vazamento de dados de LBB

As categorias de dados confirmadas são informações de user-agent do navegador, endereços de e-mail, endereços IP, nomes e endereços físicos. Esses campos, por si só, não dão acesso a contas financeiras; quando combinados com o contexto de uma plataforma de compras e estilo de vida, porém, tornam mais eficazes as tentativas personalizadas de persuasão. Um invasor pode usar o endereço de e-mail e o nome para enviar ao usuário mensagens que parecem comunicações autênticas de marcas, usar o endereço físico como pretexto para uma entrega ou um convite para um evento e recorrer às informações de IP e do navegador para tornar os detalhes técnicos da mensagem mais convincentes.

• Endereços de e-mail: Podem ser usados em campanhas falsas, cupons falsos, alertas sobre contas e mensagens sobre parcerias com marcas.
• Nomes: Personalizam as mensagens e são valiosos para ações de engenharia social que buscam aumentar a confiança do usuário.
• Endereços físicos: Podem ser usados indevidamente sob o pretexto de uma entrega, devolução, inscrição em evento ou emissão de fatura.
• Endereços IP: Podem dar uma ideia da localização aproximada e do provedor de internet, além de reforçar a linguagem usada por golpistas para direcionar mensagens a uma região.
• Informações de user-agent do navegador: Podem tornar mais convincentes os cenários de suporte técnico falso ou de notificações falsas de segurança, ao indicar o dispositivo, o navegador e o sistema operacional.

O escopo confirmado deve permanecer restrito ao incidente da LBB de 14 de fevereiro de 2019 e às 39.288 contas de e-mail únicas. Os registros de origem indicam que os dados foram compartilhados em um fórum no período de agosto de 2022, que os dados mais recentes são do início de 2019 e que o conjunto contém mais de 3 milhões de linhas. Essa quantidade de linhas não equivale ao número de pessoas ou de endereços de e-mail individuais. Por isso, o campo de contagem de registros mantém a métrica confiável de contas únicas; a descrição apresenta o volume maior de linhas como uma observação separada sobre o escopo.

Segundo a avaliação relatada pela LBB, os dados teriam sido expostos por meio de um serviço de terceiros, e informações adicionais teriam sido combinadas com alguns dos campos que a LBB mantém sobre seus clientes. Essa distinção é importante: não se deve apresentar a situação como se todos os campos tivessem vindo diretamente da conta na LBB. Além disso, senhas, hashes de senhas, números de telefone, cartões de pagamento, CVV, contas bancárias, documentos oficiais de identificação, passaportes e dados de saúde não estão entre as categorias de dados confirmadas neste registro. O risco para o usuário deve ser descrito como limitado ao impacto de phishing e de ações direcionadas decorrentes das informações de perfil e de contato.

O grupo de maior risco é o dos usuários que fornecem informações de conta ou de contato à LBB para compras, descoberta de marcas, guias de cidades, eventos, promoções ou recomendações de produtos. Essas pessoas podem ser alvo de mensagens falsas sobre descontos, concursos, ofertas de marcas, entregas e verificação de conta. A presença de um endereço físico nos dados permite que o golpista associe a mensagem à cidade ou às informações de entrega do usuário. Isso cria uma oportunidade de ataque mais convincente do que mensagens comuns de spam.

Entre os riscos adicionais para usuários cujos endereços IP e informações de user-agent do navegador foram vazados estão tentativas de phishing relacionadas a suporte técnico ou segurança do dispositivo. Por exemplo, uma mensagem que se dirige ao usuário com informações específicas sobre seu navegador ou dispositivo pode parecer um alerta de segurança legítimo. Como este registro não contém senha, o risco direto de invasão de contas é mais limitado do que em incidentes com vazamento de senhas. Ainda assim, se o endereço de e-mail for associado a senhas de outros vazamentos, os invasores podem combinar dados de diferentes fontes.

Se o seu endereço de e-mail aparecer no registro da LBB, comece verificando se há comunicações suspeitas, links de campanhas desconhecidas, notificações inesperadas de entrega e solicitações de confirmação de endereço na LBB e nas contas de compras relacionadas. A senha não é um campo de dados confirmado neste incidente; mesmo assim, você deve usar senhas fortes e exclusivas e autenticação multifator nas contas importantes em que utiliza o mesmo endereço de e-mail, pois o risco pode aumentar quando esse endereço é associado a outros conjuntos de dados.

1. Evite links suspeitos: Confira mensagens com cupons, reembolsos, informações de envio, eventos ou alertas sobre contas acessando o site oficial por conta própria.
2. Verifique solicitações relacionadas ao seu endereço: Desconfie de mensagens que pedem novamente seu endereço físico, solicitam uma taxa de entrega ou pedem verificação de pagamento.
3. Aumente a segurança do e-mail: Use uma senha exclusiva e autenticação multifator na sua conta de e-mail; confira os endereços de recuperação.
4. Não confie em mensagens que incluem informações do dispositivo: Uma mensagem que conhece as informações do navegador ou do sistema operacional não é confiável só por isso.
5. Reforce os filtros de spam e phishing: Sinalize remetentes desconhecidos, links encurtados e mensagens que pressionam você a agir com urgência.

Para se proteger a longo prazo, é necessário reduzir o compartilhamento desnecessário de dados pessoais em plataformas de compras e estilo de vida. Encerrar contas que você não usa, manter os endereços cadastrados atualizados e limitados ao necessário, revisar as permissões para campanhas e usar um endereço de e-mail mascarado reduzem a possibilidade de você se tornar alvo. Especialmente quando o endereço físico e o e-mail estão no mesmo perfil, um vazamento de dados pode continuar sendo valioso para a engenharia social mesmo anos depois.

Em serviços de descoberta de marcas, moda, casa, beleza e guias de cidades, os usuários recebem com frequência mensagens de campanhas, convites e recomendações. Esse fluxo habitual de comunicação representa uma vantagem para os invasores. Por isso, é preciso verificar em cada mensagem a linguagem da marca, o domínio do remetente, o destino do link e a solicitação de pagamento. Do lado das empresas, os campos de dados de clientes compartilhados com serviços de terceiros devem ser inventariados regularmente, os conjuntos de dados enriquecidos devem ser monitorados como riscos separados e os campos desnecessários devem ser reduzidos de forma permanente.

Encontrar uma correspondência neste registro significa que seu endereço de e-mail associado à LBB está presente no conjunto de dados verificado. Uma correspondência não significa que sua senha ou seu cartão de pagamento tenha sido vazado neste incidente. Os campos confirmados se limitam a e-mail, nome, endereço físico, endereço IP e informações de user-agent do navegador. Ainda assim, é preciso ter cuidado com campanhas falsas, entregas falsas, comunicações falsas em nome de marcas e tentativas personalizadas de phishing.

Após a consulta, a ação mais adequada é reforçar a segurança da sua conta de e-mail, revisar os endereços cadastrados na LBB e em serviços de compras semelhantes, evitar abrir mensagens suspeitas e não fazer pagamentos nem fornecer informações por links não oficiais. Se você usa o mesmo endereço de e-mail em muitos serviços, lembre-se de que informações de diferentes vazamentos de dados podem ser combinadas. Por isso, mesmo que um incidente isolado não inclua senha, a segurança da conta, os cuidados com o e-mail e a redução dos dados pessoais ao mínimo necessário devem ser tratados em conjunto.