LinkedIn Vazamento de dados
O vazamento de dados do LinkedIn é um incidente de segurança de grande proporção em uma rede profissional, confirmado quando dados de contas roubados em 2012 passaram a circular amplamente em maio de 2016.
Tipos de dados expostos
3- Endereços de e-mail
- Senhas
- Member IDs
Sobre este vazamento
O alcance confirmado é de 164.611.595 contas. Os principais dados expostos são endereços de e-mail e hashes de senhas; o comunicado oficial informou que as identidades dos membros do LinkedIn também estavam incluídas nos dados de 2012. Como as senhas eram armazenadas na forma de hashes SHA-1 sem salt, senhas fracas puderam ser descobertas muito rapidamente. Por isso, o principal risco do incidente é que informações sobre a identidade profissional e senhas antigas sejam usadas em outras contas.
O LinkedIn anunciou o incidente não como uma nova invasão de seus sistemas, mas como a transferência de dados antigos, de 2012, para um ambiente online em 2016. Foi iniciado um processo de invalidação de senhas das contas antigas em risco, e os usuários receberam a recomendação de redefinir suas senhas. Ainda assim, se a senha antiga do LinkedIn tivesse sido reutilizada em outros serviços, o impacto não se limitaria à conta do LinkedIn. Se o e-mail de trabalho, as ferramentas corporativas, as redes sociais, o armazenamento em nuvem e as contas de compras estiverem protegidos pela mesma senha, invasores poderão usar essas informações para tentar acessar várias contas em sequência.
Tipos de dados vazados e riscos
Os tipos de dados confirmados são endereços de e-mail, hashes SHA-1 de senhas sem salt e IDs de membros do LinkedIn. Um endereço de e-mail pode estar diretamente vinculado à identidade profissional de uma pessoa e ser usado em mensagens direcionadas. O ID de membro é um identificador interno usado para fazer a associação com o perfil de uma conta. Um hash de senha não é a senha em formato legível; no entanto, o SHA-1 sem salt é considerado hoje um método fraco de armazenamento e aumenta o risco de descoberta das senhas, especialmente quando são curtas ou comuns.
O risco mais crítico está na reutilização de senhas. Se a mesma senha antiga do LinkedIn também tiver sido usada no e-mail, em contas de trabalho, redes sociais, fóruns, contas vinculadas a pagamentos ou serviços em nuvem, invasores poderão testar a mesma combinação de e-mail e senha em outras telas de login. Por se tratar de uma conta em uma rede profissional, mensagens de phishing podem parecer mais convincentes: falsas ofertas de emprego, solicitações de conexão, mensagens de RH, compartilhamento de arquivos ou alertas de segurança da conta são alguns dos temas que podem ser usados. Neste incidente, dados de cartões de pagamento e conteúdo de mensagens privadas não são categorias de dados confirmadas.
Alcance confirmado e limites
O vazamento está registrado como ocorrido em 2012; os dados passaram a circular amplamente em maio de 2016. O número de contas confirmadas permanece em 164.611.595. Algumas notícias podem apresentar números diferentes, como 117 milhões, 164 milhões ou 167 milhões; isso se deve a diferentes segmentos dos dados, às etapas iniciais de verificação e a números arredondados nas reportagens. O número confirmado adotado como referência para as consultas dos usuários é de 164.611.595 contas.
Os limites do alcance são claros. Os campos confirmados são endereço de e-mail, hash de senha e ID de membro, conforme os comunicados oficiais. Não se deve presumir que todo o histórico profissional visível no perfil, listas de conexões, mensagens privadas, informações de pagamento, números de telefone, endereços físicos ou documentos oficiais de identificação tenham vazado neste incidente. O incidente deve ser avaliado com base nas informações de login das contas e nos identificadores internos, e não na totalidade das informações dos perfis profissionais.
Grupos de usuários em risco
O grupo de maior risco é formado por pessoas que tinham uma conta no LinkedIn antes de 2012 e reutilizavam em outras contas a senha que usavam naquela época. O risco é mais acentuado para quem usa o LinkedIn com o e-mail de trabalho, pois o mesmo endereço pode ser alvo de tentativas de acesso em telas de login corporativas ou de mensagens voltadas ao contexto profissional. Executivos, profissionais de vendas, recursos humanos, finanças e jurídico, equipes técnicas e pessoas com perfis profissionais públicos podem receber mensagens de engenharia social mais direcionadas.
Usuários que alteraram sua senha depois de 2012 podem estar sujeitos a um risco menor no LinkedIn; no entanto, a ameaça persiste se a mesma senha antiga ainda estiver ativa em outro serviço. Se uma senha antiga foi usada em contas pessoais de e-mail, ferramentas internas da empresa ou redes sociais, um invasor pode ter a oportunidade de avançar para várias contas a partir de um único conjunto de dados. Mesmo que a conta do LinkedIn não esteja mais ativa, a combinação do mesmo endereço de e-mail com a senha antiga pode causar problemas de segurança em outros serviços.
Medidas urgentes a tomar
O primeiro passo é garantir que a senha usada no LinkedIn em 2012 não esteja ativa em nenhuma conta. Se você usa a mesma senha ou uma semelhante em outros serviços, defina uma senha exclusiva, longa e forte para cada conta. Ative a autenticação de dois fatores na conta do LinkedIn e revise as sessões ativas e os aplicativos conectados. Para contas cadastradas com um e-mail de trabalho, é essencial manter as senhas corporativas e pessoais estritamente separadas.
Tenha cuidado com mensagens falsas que usam o LinkedIn como tema. Convites falsos de conexão, arquivos com ofertas de emprego, formulários de recursos humanos, alertas de redefinição de senha e mensagens de verificação de conta podem parecer mais convincentes após incidentes como este. Em vez de clicar no link, acesse o serviço diretamente e verifique o endereço do remetente e o histórico de login. Altere também as senhas de e-mail, redes sociais, armazenamento em nuvem e ferramentas de trabalho em que a mesma senha antiga foi usada.
Estratégias de segurança de longo prazo
No longo prazo, senhas exclusivas, verificação em duas etapas e revisões regulares das sessões são medidas fundamentais de segurança para contas em redes profissionais. O uso de um gerenciador de senhas facilita a identificação dos serviços em que uma senha antiga do LinkedIn foi reutilizada. Mantenha senhas diferentes para o e-mail de trabalho e as contas pessoais, atualize os e-mails de recuperação e ative as notificações de segurança. Remova conexões desnecessárias com serviços de terceiros e encerre sessões em dispositivos antigos.
Do ponto de vista corporativo, o incidente do LinkedIn mostra que as contas dos funcionários em redes profissionais podem ter relação direta com a segurança da empresa. Políticas para impedir a reutilização de senhas, autenticação de dois fatores, alertas de login suspeito e conscientização dos funcionários sobre phishing devem ser tratados em conjunto. Se a senha de uma conta externa antiga for a mesma usada no e-mail corporativo ou em uma ferramenta de trabalho, um único vazamento de dados poderá se transformar em um risco para a empresa. Por isso, a separação entre as identidades pessoal e profissional no uso de senhas deve ser mantida de forma consistente.
Verificação do registro e ações do usuário
Se você encontrar um resultado de correspondência, seu endereço de e-mail pode ter estado entre as 164.611.595 contas associadas ao vazamento de dados do LinkedIn. Esse resultado não significa que todas as informações do seu perfil ou suas mensagens privadas tenham vazado. Os campos de dados confirmados são endereço de e-mail, hash de senha e ID de membro. A primeira verificação é entender se a senha usada no LinkedIn em 2012 continuou sendo usada em outras contas.
Se sua conta do LinkedIn estiver ativa, defina uma senha exclusiva, ative a autenticação de dois fatores e revise as sessões ativas. Se a mesma senha antiga foi usada em outros serviços, altere as senhas dessas contas também. Se você usa um e-mail de trabalho, verifique também as senhas das contas corporativas e acompanhe os alertas de login suspeito. A abordagem correta para este incidente não é amplificar alegações não confirmadas sobre dados de perfil, mas reduzir o risco duradouro à segurança das contas decorrente de combinações de e-mail e senhas antigas.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
