Vazamento de dados do Lumin PDF em 2019

O conjunto de dados verificado continha tokens de autenticação, endereços de e-mail, gêneros, nomes, senhas, idiomas falados e nomes de usuário. As 15.453.048 contas únicas correspondem ao conjunto de dados disponível para pesquisa após a remoção de duplicatas; segundo relatos, o arquivo compartilhado publicamente continha aproximadamente 24,3 milhões de registros, portanto os dois números não devem ser usados como equivalentes. A maioria dos registros continha um token de acesso associado à conexão do Lumin PDF com o Google Drive, enquanto 118.746 contas criadas diretamente no Lumin continham hashes de senha bcrypt. Não se deve presumir que todos os registros incluíam tanto uma senha quanto um token. A empresa afirmou que os tokens do Google vazados já haviam expirado no momento do incidente e não permitiam acesso aos documentos ou às assinaturas dos usuários. Essa foi uma afirmação da empresa, que não foi verificada de forma independente pelo veículo responsável pela reportagem.

Segundo relatos, em abril de 2019, um banco de dados pertencente ao Lumin PDF ficou acessível na internet sem proteção por senha, e dados foram extraídos dele. Em setembro de 2019, informações de usuários foram disponibilizadas para download em um fórum criminoso; jornalistas obtiveram uma cópia e verificaram sua autenticidade junto a vários usuários do Lumin PDF. Após a reportagem inicial, o Lumin PDF investigou e confirmou que o material continha parte dos dados de seus usuários. O banco de dados exposto continha cerca de 24,3 milhões de registros, enquanto a contagem de referência após a remoção de duplicatas é de 15.453.048. A empresa sustentou que os tokens de acesso do Google eram inválidos; o veículo responsável pela reportagem afirmou que não conseguia verificar essa alegação de forma independente e que o Google estava investigando. Não foram estabelecidos o tempo exato de exposição nem se todos os registros foram obtidos ao mesmo tempo, portanto não se deve inferir nenhum mecanismo adicional.

Pessoas que criaram uma conta diretamente no Lumin PDF com uma senha correm o risco de ter a conta tomada por terceiros, especialmente se reutilizaram essa senha no e-mail ou em outro serviço. O bcrypt torna mais lentas as tentativas de descobrir senhas offline, mas não impede que senhas curtas, comuns ou já expostas em vazamentos sejam descobertas. Para usuários que entraram com o Google, o risco depende de o token de acesso estar válido naquele momento e das permissões que ele tinha. Embora a empresa tenha afirmado que os tokens haviam expirado, revisar o acesso de aplicativos de terceiros continua sendo uma medida prudente. Nomes, e-mails, nomes de usuário, gêneros e configurações de idioma podem ajudar a criar mensagens convincentes sobre compartilhamento de documentos, solicitações de assinatura, faturas, convites para colaboração ou segurança da conta. Uma correspondência de e-mail não prova que uma senha foi recuperada, que uma conta do Google foi acessada ou que algum documento PDF foi visualizado.

Se você se cadastrou diretamente com uma senha no Lumin PDF, altere-a e atualize todas as outras contas que usam a mesma credencial ou uma semelhante. Proteja sua caixa de e-mail principal com uma senha exclusiva e autenticação multifator, pois é nela que você recebe a maioria das mensagens de redefinição de senha. Abra as permissões de aplicativos de terceiros na sua conta do Google, revise o escopo concedido ao Lumin PDF e remova o acesso se você não usa mais o serviço. Se continuar usando o serviço, revogar a permissão e refazer a conexão pelo aplicativo oficial pode ajudar a invalidar um token antigo. Revise sessões do Google que você não reconhece, eventos de segurança e dispositivos conectados. Não siga links inesperados sobre documentos compartilhados, assinaturas eletrônicas, faturas ou limites de armazenamento; abra o Lumin PDF e o Google Drive pelos domínios conhecidos desses serviços. Nunca forneça uma senha, um token de acesso ou um código de uso único em uma ligação ou mensagem de alguém que se apresente como suporte.

Use um gerenciador de senhas para gerar uma credencial longa e exclusiva para cada serviço, de modo que a recuperação de uma senha a partir de um hash bcrypt não comprometa outras contas. Prefira chaves de acesso ou autenticação multifator resistente a phishing nos serviços de e-mail e armazenamento em nuvem. Revise regularmente as permissões de aplicativos de terceiros nas contas do Google, da Microsoft e de serviços semelhantes; remova conexões não utilizadas e conceda apenas os escopos mínimos necessários. Examine as configurações de acesso, as permissões de links e as listas de colaboradores dos documentos compartilhados. As organizações devem proteger bancos de dados acessíveis pela internet com autenticação, listas de permissões de rede e firewalls, manter backups sob controles de acesso separados e realizar varreduras de ativos externos. Os tokens OAuth devem ter privilégios mínimos, validade curta e rotação, com um mecanismo de revogação em massa após um incidente. Não confie em um remetente apenas porque ele conhece um nome de arquivo verdadeiro ou um dado real de usuário.

Use o campo de pesquisa seguro desta página para verificar todos os endereços de e-mail atuais e antigos que você possa ter usado com o Lumin PDF. Uma correspondência significa que o endereço aparece entre as 15.453.048 contas únicas verificadas; ela não revela se o registro continha um hash de senha bcrypt ou um token de acesso do Google, não prova que um token era válido nem mostra que documentos foram expostos. Se você obtiver um resultado, determine se usou uma senha para acesso direto, elimine qualquer reutilização de senha que ainda exista e revise o acesso de aplicativos de terceiros na conta do Google. Se você reutilizou o mesmo nome de usuário em outros serviços, fique atento a phishing e à associação entre seus perfis. Nunca insira uma senha, um token de acesso, um código de uso único ou o conteúdo de um documento no campo de pesquisa. A ausência de resultado não é uma garantia absoluta, pois outro endereço, um registro fora deste conjunto de dados ou outro incidente ainda pode afetar você. Acesse diretamente o domínio conhecido do serviço em vez de usar links em alertas suspeitos sobre documentos ou assinaturas.