Vazamento de dados de Locally

Os principais tipos de dados verificados neste registro são endereços de e-mail, números de telefone, endereços físicos, registros de compras, informações parciais de cartões de crédito e dados de senhas. As informações parciais do cartão se referem a campos limitados, como o tipo de cartão e os últimos quatro dígitos; o número completo do cartão e o código de segurança não são campos verificados neste registro. Os dados de senhas são representados por hashes bcrypt. O uso de um formato de hash robusto não significa, por si só, que uma senha em texto simples tenha sido exposta, mas o risco persiste para senhas fracas ou reutilizadas.

A presença de e-mail, telefone e endereço físico no mesmo registro aumenta a probabilidade de engenharia social direcionada. As informações de compras podem indicar ao invasor qual produto, loja ou situação de pedido pode ser associado ao usuário. As informações parciais do cartão, por si só, podem não ser suficientes para fazer um pagamento, mas podem ser usadas para transmitir confiança em conversas fraudulentas em nome de bancos ou sobre reembolsos. Por isso, o risco deve ser avaliado nas categorias de tomada de controle de contas, phishing, monitoramento de movimentações do cartão e fraudes baseadas no endereço.

O escopo verificado corresponde ao incidente da Locally em outubro de 2022 e a 362.619 contas afetadas. O registro foi incluído como verificado em grandes conjuntos de dados de vazamentos em julho de 2023. A lista de categorias de dados abrange seis áreas principais: endereços de e-mail, dados parciais de cartões de crédito, senhas, números de telefone, endereços físicos e registros de compras. Segundo as informações do registro, a empresa reconheceu expressamente o vazamento, mas não se sabe ao certo se os clientes afetados foram notificados.

Neste registro, números completos de cartões de crédito, códigos de segurança de cartões, contas bancárias, números de documentos oficiais de identificação ou dados de saúde não devem ser incluídos como campos verificados. O ponto de entrada técnico do incidente também não foi confirmado; alegações específicas sobre uma vulnerabilidade, um malware ou uma conta de funcionário não devem ser apresentadas como fatos definitivos. O registro deve ser tratado com foco nas contas dos clientes e nos dados de transações. Assim, o usuário age com base nos riscos gerados pelos campos de dados efetivamente observados, e não em cenários não verificados.

O maior risco se aplica a pessoas que pesquisam produtos de lojas locais pela Locally, fazem pedidos e usam as opções de entrega ou retirada na loja. Se o mesmo e-mail e telefone forem usados em outras contas de compras, um invasor pode tentar identificar a mesma pessoa em diferentes serviços. O endereço físico pode associar o usuário a uma cidade específica, à região de uma loja ou a uma rota de entrega. O histórico de compras também torna as mensagens direcionadas mais realistas.

Funcionários do varejo, representantes de lojas, consumidores frequentes, pessoas que usam a mesma senha em várias contas e quem não monitora regularmente as transações do cartão devem ter mais cuidado. As informações parciais do cartão podem ser usadas especialmente em ligações falsas de suporte que pedem ao usuário os demais dígitos do cartão. Embora os hashes de senhas Bcrypt ofereçam proteção robusta, senhas curtas, previsíveis ou usadas anteriormente trazem um risco adicional. Por isso, as contas com senhas reutilizadas devem ser verificadas com prioridade.

Se você tem uma conta local, altere sua senha para uma senha longa e exclusiva. Se a mesma senha, ou uma senha semelhante, for usada em outras contas de compras, e-mail, redes sociais ou pagamentos, escolha uma nova senha diferente para cada conta. Ative a autenticação de dois fatores nas contas que oferecem esse recurso e verifique as sessões registradas e as opções de recuperação da conta. Mesmo que a senha apareça como um hash, se ela for reutilizada, um invasor ainda poderá tentar usá-la em outros sites.

Revise as transações do seu cartão de crédito e tenha cuidado com ligações, SMS ou e-mails que mencionem o tipo de cartão ou os últimos quatro dígitos. Se você receber uma mensagem em nome de um banco ou de uma loja solicitando a verificação de um pedido, entrega, devolução ou cartão, use o aplicativo oficial ou o endereço conhecido do site em vez de clicar em um link. Como o endereço e o telefone também estão visíveis, confirme por outro canal os contatos inesperados sobre envios ou retiradas na loja, assim como as ligações de atendimento ao cliente. Se houver um pagamento ou uma movimentação de pedido suspeita, entre em contato diretamente com a emissora do cartão e com a loja envolvida.

No longo prazo, use um alias de e-mail dedicado, uma senha exclusiva e, se possível, notificações de pagamento para as contas de compras. Não manter cartões salvos sem necessidade, endereços antigos e telefones antigos no navegador ou nas contas das lojas reduz a visibilidade desses dados. Confira sempre as mensagens com informações de pedidos e entregas nas contas oficiais; não presuma que uma pessoa seja funcionária de um banco ou de uma loja apenas porque sabe os últimos quatro dígitos de um cartão.

Usar um gerenciador de senhas facilita a identificação de senhas reutilizadas e a criação de senhas fortes para cada serviço. Como a conta de e-mail tem um papel central, a segurança dessa conta também deve ser reforçada. Você pode dar preferência a notificações instantâneas da emissora do cartão, limites de gastos e opções de cartão virtual. Registros antigos de compras no varejo podem ser reutilizados em mensagens fraudulentas mesmo anos depois; por isso, a revisão e a limpeza periódicas das contas, assim como o acompanhamento das transações, devem fazer parte de uma rotina permanente de segurança.

Se o resultado para a Locally for positivo no LeakData, este registro está associado à exposição de dados de clientes e de compras da Locally em outubro de 2022. O primeiro passo deve ser localizar a conta usada na Locally ou na experiência de compra de uma loja afiliada com o endereço de e-mail em questão. Em seguida, verifique, um item de cada vez, se a senha foi usada em outros serviços, se o telefone e o endereço cadastrados estão atualizados e se há transações incomuns nas movimentações do cartão.

As categorias de dados verificadas para este registro de vazamento são endereços de e-mail, dados parciais de cartões de crédito, informações de senhas, números de telefone, endereços físicos e registros de compras. Os dados de senhas devem ser entendidos como hashes bcrypt; números completos de cartões, códigos de segurança de cartões, números de contas bancárias ou números de documentos oficiais de identificação não são campos verificados deste registro. As ações do usuário devem se concentrar na reutilização de senhas, no phishing direcionado, na engenharia social baseada no endereço e no monitoramento das movimentações do cartão.