Vazamento de dados de MangaDex

Os endereços de e-mail presentes no cadastro do MangaDex podem ser usados para enviar mensagens de phishing direcionadas e alertas falsos sobre contas. Os nomes de usuário facilitam a associação entre diferentes perfis quando o mesmo apelido é usado em outros sites. Os endereços IP não fornecem um endereço residencial preciso, mas podem dar pistas sobre a região aproximada da conexão, o provedor de internet e o histórico de sessões. Quando esses campos são combinados, invasores podem criar mensagens de suporte, alertas de segurança de contas ou tentativas de se passar por outras pessoas na comunidade de forma mais convincente.

O campo de senha exige atenção especial. As informações verificadas mostram que as senhas são armazenadas como hashes gerados com bcrypt. Isso oferece mais proteção do que o vazamento de senhas em texto simples, mas senhas fracas, curtas ou anteriormente comprometidas continuam em risco. Se a mesma senha for usada em outras contas, invasores podem tentar acessar outros serviços usando combinações de e-mail e nome de usuário. Portanto, o risco não deve ser considerado restrito à conta do MangaDex.

O escopo verificado abrange 2.987.329 contas afetadas, a data do vazamento de 22 de março de 2021, a data de inclusão de 25 de abril de 2021 e quatro tipos de dados: endereços de e-mail, endereços IP, nomes de usuário e hashes de senhas. Dados de cartão de pagamento, número de telefone, endereço físico, nome real, ID, data de nascimento ou informações de saúde não constam como campos verificados neste registro. Portanto, os riscos comunicados ao usuário devem se concentrar na segurança de contas, na associação entre perfis, no phishing e na reutilização de senhas.

O incidente no MangaDex ficou mais claro depois que se constatou que o banco de dados de usuários havia circulado entre agentes de ameaça após o ataque. Fontes verificadas indicam que os nomes de usuário dos membros, seus endereços de e-mail, os últimos endereços IP conhecidos e os campos de senha protegidos por hashes seguros podem ter sido expostos. Ainda assim, não se deve concluir que a senha de cada usuário pudesse ser lida diretamente. A conduta mais adequada é trocar todas as senhas reutilizadas, levando em conta a possibilidade de que elas sejam descobertas a partir dos hashes.

Os usuários que correm maior risco são aqueles que reutilizam a senha da conta do MangaDex em outros serviços. Quem cria contas em fóruns, jogos, serviços de streaming, redes sociais ou serviços de e-mail com o mesmo e-mail e nome de usuário também aumenta o risco de associação entre perfis. É comum que pseudônimos permaneçam iguais por muito tempo em plataformas de comunidades; isso pode ajudar invasores a vincular diferentes contas a uma única pessoa. Em particular, senhas antigas e curtas, senhas que contêm palavras de dicionário e senhas que já vazaram em outros lugares apresentam risco elevado.

Para os usuários com endereço IP registrado, o risco está mais relacionado à privacidade e à possibilidade de se tornarem alvos de ataques direcionados. Um endereço IP, por si só, não revela toda a identidade de uma pessoa, mas, combinado com um e-mail e um nome de usuário, pode dar pistas sobre seus hábitos de conexão. Pessoas ativas em comunidades de mangás ou de interesses semelhantes podem ser alvo de mensagens falsas de moderadores, solicitações falsas de verificação de conta ou mensagens privadas com links. Por isso, é preciso examinar com cuidado não apenas a caixa de entrada do e-mail, mas também as notificações e mensagens privadas nas contas dessas comunidades.

Se sua conta do MangaDex aparece neste registro, o primeiro passo é trocar a senha que você usa no MangaDex e em todas as outras contas que compartilham essa senha, adotando uma senha exclusiva para cada uma. O melhor método é usar um gerenciador de senhas para gerar senhas longas e aleatórias para cada serviço. Dê prioridade à verificação da sua conta de e-mail, das contas de redes sociais e jogos e dos serviços vinculados a pagamentos. Examine também o histórico de acessos, as sessões desconhecidas, os endereços de recuperação adicionados recentemente e as notificações de segurança inesperadas dessas contas.

Ative a verificação em duas etapas nos serviços que oferecem essa proteção. A conta de e-mail é especialmente importante, pois a redefinição de senha de muitos serviços ocorre por e-mail. Em vez de clicar diretamente em avisos de segurança que usam nomes como MangaDex ou os de comunidades semelhantes, abra você mesmo o site correspondente e verifique a situação do acesso à conta. Não responda a solicitações de senhas, códigos de recuperação ou informações adicionais de segurança em mensagens privadas ou e-mails.

Para se proteger a longo prazo, é útil separar nomes de usuário, endereços de e-mail e senhas de acordo com suas finalidades. Você pode usar a conta principal de e-mail para serviços essenciais e um endereço separado para contas de comunidades e hobbies. Evitar o uso do mesmo apelido em todos os lugares dificulta a associação entre diferentes perfis. Um gerenciador de senhas facilita a identificação de senhas reutilizadas e a geração de senhas fortes para cada conta.

Revise periodicamente suas contas antigas em comunidades. Encerre as contas que não usa mais, não mantenha informações pessoais desnecessárias nas contas ativas e mantenha os métodos de acesso atualizados. Já que campos como endereço IP e nome de usuário podem ser usados para associar perfis mesmo anos depois, o impacto de vazamentos antigos não desaparece completamente com o tempo. Por isso, após incidentes como o do MangaDex, uma única troca de senha não deve ser considerada suficiente; os cuidados regulares com a segurança das contas devem se tornar hábitos permanentes.

Se você encontrar uma correspondência no vazamento do MangaDex, comece listando as contas criadas com seu endereço de e-mail afetado. Depois, identifique em quais serviços você usou a mesma senha ou uma senha semelhante e troque as senhas, começando pelas contas mais importantes. Se você usa seu nome de usuário em outras plataformas, avalie se a associação entre esses perfis representa um risco à sua privacidade. Encerre sessões antigas, atualize as opções de recuperação e mantenha os alertas de segurança ativados.

Este registro não deve ser considerado um vazamento de nome real, cartão de pagamento ou endereço físico; o risco verificado decorre da combinação de e-mail, endereço IP, nome de usuário e hash de senha. A medida mais adequada para usuários com correspondências é adotar senhas exclusivas, reforçar a proteção da conta de e-mail e ter cuidado com mensagens falsas de suporte. Embora o vazamento do MangaDex seja antigo, o risco ainda pode persistir hoje se a mesma senha tiver sido reutilizada por anos.