Vazamento de dados de Mappery

Os endereços de e-mail visíveis nos registros do Mappery podem ser usados para enviar alertas falsos sobre contas, notificações de download de mapas e mensagens de phishing direcionadas. Os nomes de usuário podem permitir a associação entre perfis quando o mesmo apelido é usado em outros sites. O campo de localização geográfica pode dar pistas sobre os lugares de interesse do usuário ou a região associada à sua conta. Essa informação, por si só, não equivale a um endereço completo, mas, quando combinada com outros campos, aumenta o risco à privacidade.

Os hashes de senha são o elemento técnico mais crítico do registro. O SHA-1 sem salt é considerado fraco segundo os padrões atuais de segurança. Invasores podem realizar tentativas offline de descobrir senhas, sobretudo as curtas, as que contêm palavras de dicionário ou as que já apareceram em outros vazamentos. Se a mesma senha for usada em outras contas, um vazamento do Mappery pode viabilizar tentativas de login em contas de e-mail, fóruns, serviços de mapas, redes sociais ou trabalho. Por isso, o risco não deve ser considerado restrito à conta do Mappery.

O escopo confirmado abrange 205.242 endereços de e-mail únicos, a data do vazamento de 11 de dezembro de 2018, a data de inclusão do registro de 18 de dezembro de 2018 e quatro tipos de dados: endereços de e-mail, localizações geográficas, senhas e nomes de usuário. O registro está associado a um site de compartilhamento de mapas. Número de telefone, endereço físico, cartão de pagamento, conta bancária, documento oficial de identificação, nome real e conteúdo de mensagens privadas não constam como campos confirmados neste registro.

É necessário delimitar explicitamente o alcance do campo de senha. A informação confirmada é um hash de senha SHA-1 sem salt; portanto, não se deve afirmar que todas as senhas estão em texto legível. Ainda assim, como o SHA-1 sem salt é uma abordagem fraca, senhas reutilizadas representam um risco elevado. Os principais riscos a comunicar ao usuário são o comprometimento de contas, a reutilização de senhas, a associação entre perfis com base em dados geográficos, o phishing e a perda de privacidade.

Os usuários mais expostos ao risco são aqueles que reutilizam a senha da conta do Mappery em outros serviços. O risco de associação entre perfis aumenta para quem cria contas em comunidades de mapas, fóruns, redes sociais, serviços de trabalho ou e-mail usando o mesmo e-mail e nome de usuário. Em contas com informações de localização geográfica, mensagens falsas sobre uma região, rota, mapa ou local específico podem ser mais convincentes para o usuário.

Usuários que compartilham mapas ou são conhecidos por conteúdos antigos sobre localização também devem ter cuidado com a privacidade. Áreas geográficas não devem ser tratadas como um endereço completo, mas podem dar pistas sobre interesses passados ou o contexto de deslocamentos. Quando essas informações são combinadas com um nome de usuário e um e-mail, fica mais fácil para invasores criar mensagens personalizadas. Por isso, é importante revisar não apenas as senhas, mas também os perfis em serviços de mapas e as informações visíveis do usuário.

Se você encontrar uma correspondência no registro do Mappery, o primeiro passo é substituir a senha dessa conta e de todas as outras contas que usam a mesma senha por senhas únicas. Priorize a verificação das contas de e-mail, redes sociais, fóruns, serviços de mapas e serviços vinculados a pagamentos. Usar um gerenciador de senhas para criar senhas longas e aleatórias para cada serviço reduz o risco de reutilização. Verifique também se há sessões desconhecidas, novos endereços de recuperação ou notificações de segurança inesperadas nas contas.

Ative a autenticação de dois fatores nas contas que oferecem essa proteção. Proteja especialmente bem a conta de e-mail, pois o processo de redefinição de senha de muitos serviços passa pelo e-mail. Não clique diretamente em links de mensagens enviadas em nome do Mappery ou de um serviço de compartilhamento de mapas; acesse o domínio por conta própria para verificar a conta. Não responda a mensagens que peçam sua senha, seu código de recuperação ou informações adicionais de segurança.

Para se proteger a longo prazo, separe as contas de mapas, hobbies e comunidades das contas críticas. Use o endereço de e-mail principal apenas para serviços essenciais e considere um endereço separado para contas de comunidades e serviços voltados a localização. Evitar o mesmo nome de usuário em todas as plataformas dificulta a associação entre diferentes perfis. Um gerenciador de senhas facilita a identificação de senhas reutilizadas anteriormente e a criação de senhas fortes para cada conta.

Revise periodicamente mapas antigos e perfis em comunidades. Encerre contas que não usa, não mantenha informações pessoais desnecessárias em contas ativas e selecione com cuidado o conteúdo de localização que fica visível. Como campos como localização geográfica, nome de usuário e e-mail podem ser usados para associar perfis mesmo anos depois, o impacto de vazamentos antigos não desaparece completamente. Por isso, registros como o do Mappery devem ser tratados como parte de uma rotina permanente de segurança da conta.

Se você encontrar uma correspondência no vazamento do Mappery, primeiro liste as contas criadas com o endereço de e-mail afetado. Depois, identifique quais serviços usam a mesma senha ou uma senha semelhante e faça as alterações, começando pelas contas mais críticas. Se você usa seu nome de usuário em outras plataformas, avalie se a associação entre esses perfis representa um risco à privacidade. Encerre sessões antigas, atualize as opções de recuperação e mantenha os alertas de segurança ativados.

Este registro não deve ser considerado um vazamento de números de telefone, endereços físicos ou cartões de pagamento; o risco confirmado decorre da combinação de e-mail, localização geográfica, nome de usuário e hash de senha. Embora o vazamento do Mappery seja de 2018, o risco ainda pode persistir hoje se a mesma senha tiver sido reutilizada ao longo dos anos. A melhor medida é usar senhas únicas, proteger bem a conta de e-mail e ter cautela com mensagens falsas sobre mapas ou suporte à conta.