Vazamento de dados de LiveAuctioneers

Os campos de dados deste vazamento podem traçar um perfil abrangente da identidade e dos contatos associados a uma conta de leilões. O endereço de e-mail e o nome de usuário são os principais pontos de contato para tentativas de acesso à conta e mensagens de phishing. Nome completo, número de telefone e endereço físico podem tornar mais convincentes as tentativas de fraude que usam como pretexto falsas notificações de envio, faturas falsas, lembretes de pagamento falsos, alertas de segurança da conta ou produtos colecionáveis de alto valor. Os endereços IP também acrescentam riscos relacionados ao comportamento da conta e à localização aproximada.

O fato de os registros de senhas estarem protegidos por hashes MD5 sem salt eleva o nível de risco. O MD5 é considerado fraco para o armazenamento moderno de senhas; sobretudo senhas curtas, previsíveis ou já encontradas em outros vazamentos podem ser descobertas rapidamente pela quebra dos hashes. Se a mesma senha for reutilizada em contas de e-mail, serviços de pagamento, redes sociais, marketplaces ou outros sites de leilões, os efeitos de um único incidente de dados podem atingir várias contas. Campos como endereço físico e número de telefone também podem ser usados em fraudes fora do ambiente on-line, ligações falsas sobre entregas e ameaças personalizadas.

O escopo verificado deste registro se baseia no incidente de 19 de junho de 2020 e em aproximadamente 3.385.862 contas. O comunicado da LiveAuctioneers informa que um terceiro não autorizado acessou determinados dados de contas de usuários por meio de um parceiro de processamento de dados. As principais categorias de dados que devem constar no registro são endereços de e-mail, endereços IP, nomes, senhas, números de telefone, endereços físicos e nomes de usuário. Nem todos esses campos podem estar presentes em cada conta; portanto, a descrição não deve presumir que todos os usuários foram afetados em todos os campos de dados.

Um limite importante do incidente diz respeito aos dados de pagamento e ao histórico de leilões. A notificação da empresa informou que não há evidências de acesso aos números completos de cartões de pagamento e que não se acredita que o histórico de leilões tenha sido afetado. Por isso, o registro deve ser mantido sem acrescentar uma categoria de dados para números de cartão ou histórico de leilões. A origem do incidente deve ser considerada uma vulnerabilidade de segurança do lado do fornecedor, e não diretamente no fluxo de leilões do serviço. Essa distinção aponta a área de risco correta sem gerar alarme desnecessário para o usuário.

O maior risco recai sobre as pessoas que reutilizam em outros serviços a senha da conta na LiveAuctioneers. Especialmente quando a mesma combinação de e-mail e senha também é usada em contas de e-mail, serviços de pagamento não bancários, redes sociais, outros marketplaces, serviços de envio ou sites de leilões, é de se esperar que ocorram tentativas automatizadas de acesso às contas. Usuários que compram itens colecionáveis, antiguidades, joias ou obras de arte também podem se tornar alvos mais atraentes para fraudes direcionadas, pois seu nome, telefone, endereço e interesse na plataforma podem ser usados em conjunto.

Os usuários cujos endereços físicos e números de telefone constam nos registros devem ficar atentos não apenas às ameaças on-line, mas também a solicitações falsas recebidas por telefone e pelo correio. Os invasores podem se apresentar como titulares de uma conta legítima de leilões e entrar em contato com os usuários sob o pretexto de confirmar pagamentos, cobrar frete ou taxas alfandegárias, ou verificar a conta. Informações adicionais, como endereço IP e nome de usuário, podem ajudar a personalizar o ataque. Pessoas que não usam mais suas contas antigas também correm risco, pois senhas antigas podem continuar em uso em outras contas por anos.

Se o seu endereço de e-mail for encontrado neste registro, primeiro compare a senha antiga da conta na LiveAuctioneers com as senhas das suas outras contas. Se você usa a mesma senha ou uma parecida em outro lugar, defina uma nova senha longa e exclusiva para cada conta. Priorize contas de e-mail, serviços de pagamento, marketplaces, redes sociais e serviços de envio. Um gerenciador de senhas facilita a identificação de senhas repetidas e a criação de senhas fortes para cada conta.

Revise o histórico de sessões, os endereços cadastrados, os números de telefone e as informações de recuperação da sua conta na LiveAuctioneers. Ative a autenticação de dois fatores nas contas que oferecem esse recurso, encerre as sessões de dispositivos desconhecidos e não clique em links suspeitos recebidos por e-mail ou SMS. Examine com cuidado as mensagens relacionadas a leilões, entrega, pagamento, envio, segurança da conta ou ofertas especiais. Mesmo que o número completo do cartão não esteja entre as categorias de dados verificadas deste registro, monitore os extratos dos seus serviços de pagamento e as transações das suas contas em busca de atividades incomuns.

Este incidente demonstra que contas de leilões e marketplaces são valiosas não apenas pelo histórico de compras, mas também pelas informações de identidade e contato. A longo prazo, senhas exclusivas para cada serviço, autenticação de dois fatores, verificações regulares de sessões e encerramento de contas desnecessárias são as linhas básicas de defesa. Reduza ao mínimo os endereços e números de telefone cadastrados em contas antigas de leilões, encerre as contas que você não usa mais e evite usar o mesmo nome de usuário em diferentes serviços de uma forma que crie vínculos desnecessários.

Para o prestador do serviço, são essenciais a limitação do acesso de fornecedores, o uso de algoritmos robustos de hash de senhas, o monitoramento de eventos, auditorias regulares de segurança e a notificação rápida dos usuários. Para o usuário, o risco não termina com a troca da senha de uma única conta; quando endereço de e-mail, número de telefone, endereço físico e nome de usuário são considerados em conjunto, a ameaça de engenharia social pode persistir por muito tempo. Por isso, revise regularmente a segurança da conta e considere que dados de vazamentos antigos podem ser reutilizados em novas mensagens fraudulentas.

Se aparecer um resultado positivo no LeakData para a LiveAuctioneers, este registro se refere ao incidente de dados de contas ocorrido por meio do parceiro de processamento de dados em 19 de junho de 2020. A primeira medida é identificar o endereço de e-mail afetado e a senha antiga usada na conta da LiveAuctioneers. Em seguida, liste todas as contas em que a mesma senha possa ter sido usada, atualize cada uma com uma nova senha exclusiva e ative a autenticação de dois fatores sempre que possível. Prefira senhas completamente diferentes, em vez de pequenas alterações nas senhas anteriores.

Na verificação seguinte, concentre-se nas tentativas de fraude direcionada que podem usar seu número de telefone, endereço e nome completo. Verifique mensagens como falsos contatos do suporte, resultados falsos de leilões, solicitações para concluir pagamentos, cobranças de entrega ou notificações de segurança da conta acessando diretamente o site oficial. Para este registro, as categorias de dados verificadas são endereços de e-mail, endereços IP, nomes, senhas, números de telefone, endereços físicos e nomes de usuário; números de cartões de pagamento ou histórico de leilões não devem ser acrescentados ao registro.