Vazamento de dados de LuLu

Neste incidente, a presença de um campo de senha junto com informações de contato aumenta significativamente o risco. Mesmo que as senhas não estejam em texto simples, os invasores podem tentar quebrar os hashes. Se a mesma senha for usada em outras contas, isso pode levar a tentativas de tomada de controle dessas contas. Os campos de e-mail, telefone e endereço também permitem que o usuário seja alvo de abordagens por diferentes canais.

As informações de compras podem fornecer pistas sobre o histórico de compras do usuário e o contexto das entregas. Esses dados podem ser usados em mensagens falsas sobre envio de mercadorias, devoluções, cupons de supermercado, pontos de programas de fidelidade, atualizações de pedidos ou entrega de produtos. Este registro não lista dados completos de cartões de pagamento; no entanto, a combinação de informações sobre compras e endereços pode tornar as tentativas de fraude mais convincentes.

O registro indica 6 de julho de 2024 como a data do incidente e informa 2.796.835 registros afetados. As notícias de segurança disponíveis publicamente indicavam, a princípio, que dados de aproximadamente 196 mil clientes haviam sido compartilhados. Posteriormente, também surgiu uma cópia de backup de um banco de dados maior. As categorias de dados presentes são compatíveis com essa ampliação do escopo, e o registro permanece com o status de verificado.

Ao explicar o escopo, é necessário distinguir dois níveis: o primeiro vazamento identificado contém informações limitadas sobre clientes, enquanto o conjunto de dados maior que surgiu depois inclui mais dados de e-mail e de pedidos. Não se espera que todos os campos estejam presentes em cada linha. Além disso, a presença de senhas armazenadas como hashes não significa que a senha do usuário seja automaticamente conhecida; ainda assim, exige medidas urgentes contra a reutilização de senhas.

Os usuários em risco são clientes que criaram uma conta, fizeram um pedido ou informaram seu número de telefone e endereço de entrega na loja on-line da LuLu ou nos canais digitais de compras associados. O risco é maior para quem usa a mesma senha em contas de e-mail, bancos, redes sociais ou outras lojas.

Como as compras no varejo e em supermercados fazem parte da rotina, os usuários estão acostumados a receber mensagens sobre entregas, promoções ou programas de fidelidade. Os invasores podem usar temas como números de pedidos, atrasos nas entregas ou cupons de desconto em mensagens falsas enviadas com nomes e números de telefone reais. Por isso, você deve avaliar com cuidado os links recebidos por SMS e aplicativos de mensagens.

Se houver uma correspondência com seus dados, você deve alterar imediatamente a senha da sua conta LuLu e trocar, uma a uma, as senhas de todas as contas em que usa a mesma senha. Gerar uma senha exclusiva com um gerenciador de senhas é a medida mais importante para impedir que este incidente afete outras contas. Ative a autenticação de dois fatores em todas as contas que oferecerem essa opção.

Ao receber mensagens que solicitem alguma ação relacionada a rastreamento de encomendas, reembolsos, pontos de programas de fidelidade, vales-presente ou correções de pagamento, confirme o procedimento pelo aplicativo oficial ou por um endereço da web conhecido antes de clicar em qualquer link. Mesmo que a pessoa que ligou saiba seu nome, endereço ou informações de pedidos anteriores, não compartilhe códigos de verificação nem informações de pagamento. Se você identificar uma transação suspeita, informe o banco e a plataforma envolvida por um canal separado.

No longo prazo, evite completamente a reutilização de senhas em contas de lojas. Usar aliases de e-mail diferentes para cada site de compras facilita a identificação da plataforma que é a origem de um risco. Remover endereços não utilizados, números de telefone antigos e informações de entrega salvas sem necessidade também reduz a quantidade de dados que podem ser expostos em futuros vazamentos.

Em vazamentos que envolvem senhas armazenadas como hashes, não basta proteger apenas a conta da loja afetada. Avalie separadamente sua conta de e-mail, os serviços de pagamento, as contas em serviços de entrega e todos os serviços em que você usa a mesma senha. Mantenha atualizados o e-mail e o número de telefone usados para recuperar suas contas e ative os alertas de login suspeito.

A consulta no LeakData mostra se seu endereço de e-mail aparece nos dados associados ao vazamento da LuLu. Se o resultado for positivo, elimine imediatamente a reutilização de senhas e tenha cuidado com mensagens falsas sobre entregas e promoções, considerando que suas informações de telefone e endereço podem ser usadas indevidamente.

Um resultado negativo significa que não há correspondência neste registro; ele não comprova que você está em segurança em todas as suas contas de lojas. Verifique periodicamente se o mesmo endereço de e-mail aparece em outros vazamentos e adote senhas fortes e verificação em duas etapas como padrão para suas contas de compras.