Suposta exposição de dados de Lyf App

Os tipos de dados observados neste registro são endereços de e-mail, nomes, nomes de usuário, informações de localização geográfica ou país, datas de nascimento e senhas. Em alguns registros, o campo de senha aparece protegido por hash; não foi feita nenhuma afirmação de que as senhas estavam em texto simples. Esses campos foram avaliados individualmente; cartões de pagamento, contas bancárias, documentos oficiais de identificação, mensagens privadas, registros de saúde ou campos adicionais de perfil não verificados não foram incluídos na lista de classes de dados.

Devido ao contexto de saúde mental e apoio pessoal, até mesmo associar a participação na plataforma a um e-mail, nome ou nome de usuário representa um risco à privacidade. Embora um endereço de e-mail isolado já crie um risco de mensagens indesejadas e phishing, sua combinação com nome, número de telefone, endereço, IP, data de nascimento ou informações profissionais facilita a elaboração de uma mensagem mais personalizada por um invasor. Por isso, a avaliação de risco considerou não apenas o número de registros, mas também a possibilidade de uso combinado dos campos.

O escopo do registro atual foi mantido em 226.219 contas, e diferentes contagens disponíveis publicamente não foram somadas em um único total. Os campos não verificados foram excluídos, enquanto os campos de dados verificados foram preservados. Assim, o usuário recebe informações sobre o registro atual sem alarmismo excessivo, mas também sem que o risco real seja subestimado.

Campos como identidade em redes sociais, horário do evento ou conteúdo privado não foram adicionados às classes de dados porque não foram verificados de forma consistente. Caso existam outros eventos com nomes semelhantes ao deste registro, eles não foram reunidos em um único evento de grande porte. O nome de domínio, o nome da empresa e as informações do setor foram mantidos no contexto correto mais restrito possível; isso evita a inclusão de vazamentos duplicados ou associados incorretamente.

Os grupos de usuários em risco podem incluir pessoas que abriram uma conta no Lyf App, participaram de comunidades de apoio ou compartilharam experiências pessoais. Os usuários que encontrarem uma correspondência devem considerar não apenas a conta no serviço em questão, mas também outras contas que utilizem o mesmo e-mail, nome de usuário ou padrão de senha.

O risco de associar uma identidade real a um pseudônimo aumenta para quem usa o mesmo nome de usuário em diferentes plataformas sensíveis. Para quem se cadastra com um endereço de e-mail corporativo, o risco pode ir além da conta individual; invasores podem usar informações como nome, função, número de telefone, endereço, compras, ID de jogador ou perfil profissional para enviar mensagens mais convincentes. Por isso, os usuários não devem tratar a correspondência como um problema restrito a um único site.

Os usuários afetados devem alterar a senha do Lyf App e das outras contas que utilizem a mesma senha, além de ativar a verificação em duas etapas nas contas de e-mail e redes sociais. Nos registros que contêm um campo de senha, as senhas de todas as contas que utilizem a mesma senha devem ser alteradas; nos registros sem esse campo, o foco deve estar nos riscos relacionados a e-mail, telefone e notificações falsas. Em ambos os casos, a conta de e-mail deve ser protegida com uma senha forte e exclusiva.

Em vez de clicar nos links da mensagem, o endereço do serviço em questão deve ser digitado manualmente, ou deve ser usado o registro salvo em um gerenciador de senhas confiável. Mensagens como códigos de verificação recebidos por telefone, solicitações de redefinição de senha ou notificações de envio de encomendas, ofertas de emprego, suporte, assinaturas ou segurança não devem ser aceitas sem confirmação por um canal independente.

Em aplicativos que envolvem assuntos sensíveis, o uso de nome real, data de nascimento, localização e nomes de usuário reutilizados deve ser reduzido ao mínimo. Contas antigas, campos de telefone e endereço não utilizados, nomes de usuário recorrentes e padrões de senha idênticos devem ser revisados e eliminados regularmente. Os usuários devem usar uma senha exclusiva para cada serviço e ativar a verificação em duas etapas sempre que possível.

Para os prestadores de serviços, a retenção mínima de dados, a proteção robusta de senhas, o monitoramento dos registros de acesso, a exclusão de campos de perfil desnecessários e a notificação dos usuários após um vazamento são requisitos básicos. Em aplicativos ligados à saúde mental, a minimização de dados e a comunicação clara com os usuários são elementos essenciais para a confiança. Nesses casos, comunicar o escopo com precisão é tão importante quanto a correção técnica; informações exageradas ou incompletas podem levar o usuário a tomar medidas inadequadas.

Você deve primeiro consultar este registro usando seu endereço de e-mail. Se houver uma correspondência, considere que os campos de nome, nome de usuário, data de nascimento, localização e senha podem estar em risco e elimine a reutilização de senhas em aplicativos sensíveis. A ausência de uma correspondência não descarta completamente a reutilização de senhas antigas ou o uso de diferentes e-mails associados ao mesmo serviço; por isso, as contas críticas devem ser revisadas separadamente.

Este registro foi mantido como sensível, mas não verificado; o texto foi editado para que campos ambíguos não fossem apresentados como afirmações definitivas. Nesta edição, os campos de dados foram mantidos como classes canônicas em inglês, a descrição visível ao usuário foi escrita em turco e em sua forma original, os campos não verificados não foram incluídos e o indicador de sensibilidade foi usado apenas quando havia respaldo no contexto de risco.