Vazamento de dados de Market Moveis

Os tipos de dados identificados neste registro são endereços de e-mail e nomes. Não foram verificados campos de senha, telefone, endereço ou cartão de pagamento. Campos não verificados de cartão de pagamento, conta bancária, mensagem privada, documento oficial de identificação, registro de saúde ou informações adicionais de perfil não foram incluídos na lista de classes de dados; apenas os campos respaldados pelas evidências foram mantidos.

A associação entre nome e e-mail pode ser usada em campanhas falsas, notificações de pedidos ou mensagens de atendimento ao cliente. Um endereço de e-mail, por si só, representa um risco de spam; quando combinado com número de telefone, endereço, IP, data de nascimento, foto, número de documento de identificação ou dados de rastreamento de dispositivo, fica mais fácil para um invasor criar mensagens direcionadas ao usuário. Por isso, a avaliação do risco considera não apenas o número de registros, mas também a possibilidade de combinar os dados.

O escopo foi confirmado em 28.220 registros, com data de agosto de 2023. Os campos verificados foram mantidos, enquanto os não confirmados ficaram de fora. O incidente não foi agrupado com outras marcas, registros com nomes semelhantes ou incidentes da mesma empresa ocorridos em outros períodos.

O incidente ficou limitado ao domínio marketmoveis.pt, e domínios adicionais de clientes não foram incluídos na classe de dados. Essa abordagem evita a inclusão de vazamentos duplicados e a atribuição incorreta de responsabilidade a uma organização perante o usuário. O domínio, o nome da empresa e as informações do setor foram mantidos no contexto mais restrito possível sem perder a precisão; quando havia incerteza, a marcação de verificação ou o domínio do site foi definido de acordo com ela.

Os grupos de usuários em risco podem incluir clientes que abriram uma conta no site da Market Moveis, avaliaram produtos ou preencheram um formulário de contato. Usuários com correspondência no registro também devem avaliar, além da conta em questão, outras contas em que usam o mesmo e-mail, telefone, nome de usuário ou padrão de senha.

Mensagens sobre decoração ou pedidos podem ser usadas para direcionar o usuário a links falsos. O risco de engenharia social pode aumentar quando há um contexto que envolva e-mail corporativo, conta infantil ou familiar, registro público, identidade em jogos, comunidade de letramento, software de monitoramento ou serviço profissional. Os usuários não devem considerar detalhes aparentemente corretos sobre si mesmos como um sinal de confiabilidade.

Usuários afetados devem verificar, pelo site oficial, mensagens de campanhas, pedidos ou atualizações de conta recebidas em nome da Market Moveis. No caso de contas com um campo de senha, todas as contas que usam a mesma senha devem ser atualizadas; no caso de contas sem um campo de senha, o foco deve estar nos riscos relacionados a telefone, e-mail, notificações falsas e associação de identidades.

Em vez de clicar nos links da mensagem, você deve digitar manualmente o endereço do serviço correspondente ou usar o registro em um gerenciador de senhas confiável. Mensagens sobre entregas, suporte, recompensas em jogos, alertas de conta, registros públicos, notificações de segurança, compartilhamento de documentos ou renovação de assinatura não devem ser aceitas sem verificação por um canal independente.

As permissões de marketing em contas de varejistas devem ser reduzidas, e apenas as informações de contato necessárias devem ser compartilhadas. Os usuários devem revisar regularmente contas antigas, campos de perfil desnecessários, nomes de usuário duplicados e informações antigas de telefone e endereço, removendo o que não for mais necessário. Usar uma senha exclusiva para cada serviço e a verificação em duas etapas, quando disponível, deve ser uma regra básica.

Para os prestadores de serviços, são necessárias a minimização de dados, a proteção robusta de senhas, o monitoramento de registros de acesso, a exclusão de campos desnecessários e a preparação de processos de notificação aos usuários. Mesmo dados limitados, como nome e e-mail, podem ser suficientes para mensagens que se passam por uma marca. Explicar o escopo com precisão também faz parte do trabalho de segurança; informações exageradas ou incompletas podem levar o usuário a tomar medidas inadequadas.

Você deve primeiro verificar este registro usando seu endereço de e-mail. Se houver uma correspondência, considere que as informações de nome e e-mail podem ser usadas em mensagens direcionadas e verifique manualmente os links da loja. A ausência de correspondência não descarta completamente o uso de outro e-mail ou a reutilização de uma senha antiga; as contas críticas também devem ser revisadas.

Este registro permaneceu verificado; a marcação de sensibilidade e os campos de dados adicionais não foram incluídos porque não haviam sido verificados. Nesta edição, os campos de dados foram mantidos como classes canônicas em inglês, a descrição visível ao usuário foi redigida em turco, com texto original, os campos não verificados não foram incluídos e a marcação de sensibilidade foi usada apenas quando respaldada pelo contexto de risco.