Vazamento de dados de Lexipol

Os tipos de dados observados neste registro são endereços de e-mail, nomes, números de telefone, nomes de usuário e senhas. A avaliação indicou que as senhas são armazenadas em formatos como MD5 ou SHA-256; senhas fracas são suscetíveis a ataques offline. Esses campos foram avaliados individualmente. Cartões de pagamento, contas bancárias, documentos oficiais de identificação, mensagens privadas, registros de saúde ou campos adicionais de perfil não verificados não foram incluídos na lista de categorias de dados.

Usuários ligados a instituições de segurança pública podem ser alvo de mensagens como falsas atualizações de políticas, convites para treinamentos ou compartilhamento de documentos. Embora um endereço de e-mail, por si só, gere risco de spam e phishing, sua combinação com nomes, números de telefone, endereços, IPs, datas de nascimento ou informações profissionais facilita a criação de mensagens mais personalizadas por invasores. Por isso, a avaliação de risco considerou não apenas o número de registros, mas também como os campos poderiam ser usados em conjunto.

O escopo foi verificado com a contagem de 672.546 contas, referente a fevereiro de 2025. Os campos de dados verificados foram mantidos, enquanto os não confirmados foram excluídos. Assim, o usuário é informado sobre o registro atual sem alarmismo excessivo, mas também sem subestimar o risco real.

Campos como endereço, documento oficial de identificação, dados de pagamento ou de saúde não foram adicionados porque não foram verificados. O incidente foi mantido no contexto de registros de usuários e documentos associados. Outros incidentes com nomes semelhantes ao deste registro, caso existam, não foram reunidos em um único grande incidente. O nome de domínio, o nome da empresa e as informações sobre o setor foram mantidos no contexto correto mais restrito possível. Isso também evita a inclusão de vazamentos duplicados ou associados incorretamente.

Os grupos de usuários em risco são profissionais de segurança pública, representantes de órgãos e usuários de gestão de políticas que possuem uma conta nos sistemas da Lexipol. Se seus dados forem encontrados, você deve considerar não apenas a conta no serviço em questão, mas também outras contas em que usa o mesmo e-mail, nome de usuário ou padrão de senha.

Informações de telefone e nome de usuário podem tornar mais convincentes mensagens direcionadas que se passam por comunicações de suporte interno ou notificações de segurança. Para quem se cadastrou com um endereço de e-mail corporativo, o risco pode ir além de uma conta pessoal. Invasores podem enviar mensagens mais convincentes usando informações como nome, função, número de telefone, endereço, compra, identificador em jogos ou detalhes do perfil profissional. Por isso, você não deve encarar a correspondência encontrada como um problema restrito a um único site.

Usuários afetados devem alterar suas senhas, e administradores das organizações devem adotar medidas de encerramento de sessões, redefinição obrigatória de senhas e verificação em duas etapas. Quando o registro contém um campo de senha, todas as contas que usam a mesma senha devem ser atualizadas. Quando não há um campo de senha, o foco deve ser o risco relacionado a e-mails, telefonemas e notificações de phishing. Em ambos os casos, a conta de e-mail deve ser protegida com uma senha forte e exclusiva.

Em vez de clicar nos links da mensagem, digite manualmente o endereço do serviço em questão ou use o registro salvo em um gerenciador de senhas confiável. Mensagens com códigos de verificação recebidos por telefone, solicitações de redefinição de senha ou notificações de entrega, oferta de emprego, suporte, assinatura ou segurança não devem ser aceitas sem verificação por um canal independente.

O acesso baseado em funções, a autenticação multifator e as revisões periódicas dos acessos às contas devem ser obrigatórios nos serviços de segurança pública. Contas antigas, campos de telefone e endereço não utilizados, nomes de usuário recorrentes e padrões de senha idênticos devem ser revisados e removidos regularmente. Você deve usar uma senha exclusiva para cada serviço e ativar a verificação em duas etapas sempre que possível.

Para os prestadores de serviços, reter o mínimo de dados, proteger senhas de forma robusta, monitorar registros de acesso, excluir campos de perfil desnecessários e notificar os usuários após um vazamento são requisitos fundamentais. Em setores sensíveis, a segurança dos sistemas de terceiros afeta diretamente a relação de confiança operacional. Em incidentes desse tipo, comunicar o escopo com precisão é tão importante quanto a correção técnica. Informações exageradas ou incompletas podem levar o usuário a tomar medidas inadequadas.

Primeiro, você deve consultar este registro usando seu endereço de e-mail. Se houver uma correspondência, priorize verificações adicionais ao alterar senhas, controlar sessões e receber solicitações de suporte por telefone. A ausência de uma correspondência não descarta completamente a reutilização de senhas antigas nem o uso de outros e-mails associados ao mesmo serviço. Por isso, as contas críticas devem ser revisadas separadamente.

Este registro foi verificado e mantido como sensível; o setor e as etiquetas foram alinhados ao contexto da segurança pública. Nessa organização, os campos de dados foram mantidos como categorias canônicas em inglês, a descrição visível ao usuário foi redigida em turco com texto original, os campos não verificados não foram adicionados e a sinalização de sensibilidade foi usada apenas quando sustentada pelo contexto de risco.