Vazamento de dados de MangaToon

Endereços de e-mail, nomes e nomes de usuário podem facilitar tentativas de phishing direcionado ou de associação entre contas, enquanto dados de gênero, avatares e identidades de perfis em redes sociais podem tornar as mensagens mais pessoais. Foi confirmado que as senhas eram armazenadas como hashes MD5 com salt. O uso de salt impede que senhas idênticas produzam o mesmo hash, mas MD5 não é um algoritmo moderno de hash de senhas projetado para ser lento. Por isso, senhas fracas continuam vulneráveis a tentativas de descoberta offline. Os tokens de autenticação obtidos por meio de login via redes sociais não são senhas, e seus prazos de validade não foram divulgados. No entanto, os tokens que estavam ativos quando foram roubados podem ter representado um risco distinto relacionado às sessões. A categoria de dados de perfis em redes sociais se refere às identidades das contas; ela não comprova que mensagens privadas ou senhas de redes sociais tenham sido expostas.

A data de referência do incidente é 13 de maio de 2022. Relatos técnicos informaram que o invasor acessou um servidor Elasticsearch da MangaToon com uma credencial fácil de adivinhar e alegaram que a senha era literalmente “password”. Segundo os relatos, a credencial do servidor foi alterada depois que o invasor avisou a empresa, mas várias tentativas de contatá-la e obter uma resposta para os usuários ficaram sem retorno. Amostras de contas compartilhadas com um veículo de imprensa também foram verificadas, e sua validade na plataforma foi confirmada. Mais de 23 milhões de registros foram adicionados a um diretório verificado de vazamentos em julho de 2022. As informações públicas não permitem determinar por quanto tempo o banco de dados ficou acessível, se os tokens estavam ativos na época ou se todos os registros continham todos os campos. Portanto, esses pontos não devem ser apresentados como certos.

Pessoas que reutilizaram a senha da MangaToon em outros serviços e usuários que fizeram login por meio de uma conta de rede social enfrentam o risco mais direto. Uma senha descoberta pode viabilizar tentativas de credential stuffing contra serviços de e-mail, redes sociais ou outros serviços de entretenimento que aceitem as mesmas credenciais. Para usuários cujos tokens de login via redes sociais estavam presentes, apenas alterar a senha pode não ser suficiente; também é necessário revisar as permissões de aplicativos conectados e as sessões ativas. A combinação de nome, endereço de e-mail, gênero, avatar e identidade de perfil em rede social pode tornar mais convincentes mensagens falsas de suporte ou promoções com o tema da MangaToon. Não se deve presumir que todos os campos estejam presentes nos 23.040.238 registros, nem que os tokens continuem válidos hoje. Dados de pagamento e de endereço físico estão fora do escopo verificado, portanto alegações de fraude financeira não podem ser atribuídas diretamente a este incidente.

Substitua a senha da MangaToon por uma senha longa e exclusiva e crie credenciais diferentes em cada serviço no qual você usou a mesma senha ou uma semelhante. Ative a autenticação multifator na conta de e-mail e na conta de rede social associadas. Se você usou o login via rede social, revise a lista de aplicativos conectados do provedor, revogue o acesso da MangaToon, considere reconectar apenas pelo aplicativo ou site oficial, encerre as sessões existentes e verifique os logins que você não reconhece. Não siga links em mensagens inesperadas com o tema da MangaToon que ofereçam redefinição de senha, tokens gratuitos, assinatura ou desbloqueio de conteúdo. Se o e-mail do perfil, o nome de usuário, o avatar ou a conta de rede social conectada tiver sido alterado sem sua autorização, entre em contato com o suporte por um canal oficial. Nunca insira uma senha ou o valor de um token em um formulário de busca de vazamentos ou em um site de terceiros.

Um gerenciador de senhas que gere uma senha diferente para cada serviço impede que um vazamento antigo afete outras contas. O login via redes sociais pode ser conveniente, mas as listas de aplicativos conectados devem ser revisadas periodicamente para remover os que não são mais usados, e as sessões sem uso devem ser revogadas. Como o e-mail é o ponto central de recuperação de muitas contas, proteja-o com uma senha exclusiva tão forte quanto possível e autenticação multifator. Se você não precisar mais de uma conta da MangaToon, consulte os canais oficiais sobre sua exclusão ou encerramento. Para operadores de serviços, as proteções duradouras incluem manter as interfaces de gerenciamento fora da internet pública, usar credenciais de serviço fortes e exclusivas, restringir o acesso à rede, aplicar métodos modernos de hash de senhas, limitar a validade dos tokens, monitorar anomalias e manter um processo claro de notificação de incidentes.

Pesquise seu endereço de e-mail no LeakData para verificar se ele consta no registro do vazamento da MangaToon. Consulte apenas um endereço que pertença a você ou que você tenha autorização para verificar. Uma correspondência significa que o endereço aparece no conjunto de dados verificado; ela não comprova que a senha tenha sido descoberta, que um token de rede social continue válido ou que a conta tenha sido tomada por terceiros. Um resultado vazio não deve levar você a desconsiderar um aviso de segurança confiável recebido por outro canal. Se houver uma correspondência, substitua primeiro as senhas reutilizadas e, em seguida, revise os aplicativos de redes sociais conectados, as sessões ativas e as configurações de recuperação da conta.