Suposta exposição de dados de MarketsMojo

Nas listas usadas como fonte, aparecem números maiores e alguns campos de dados adicionais para a MarketsMojo. No entanto, houve mais cautela ao incluir as categorias de dados. Os campos com respaldo sólido são endereços de e-mail, números de telefone, nomes de usuário e hashes de senhas bcrypt. Campos como endereços físicos não foram incluídos no campo dataClasses deste registro porque não há verificação suficientemente sólida. Essa abordagem foi escolhida para evitar apresentar alegações excessivas aos usuários.

As categorias de dados verificáveis incluem endereços de e-mail, números de telefone, nomes de usuário e hashes de senhas. Segundo os relatos, as senhas eram armazenadas como hashes bcrypt. Bcrypt é uma abordagem de armazenamento de senhas mais robusta do que algoritmos rápidos como MD5 ou SHA1; no entanto, um hash robusto não significa que o risco tenha sido totalmente eliminado. Senhas fracas, parâmetros de custo baixos ou o hábito de reutilizar senhas podem facilitar o trabalho de um invasor.

Ter o e-mail e o número de telefone juntos permite que invasores entrem em contato com o usuário tanto por e-mail quanto por SMS. O nome de usuário pode revelar a identidade usada na plataforma e, às vezes, um apelido que também aparece em outras contas de investimento, redes sociais ou fóruns. Pelo contexto da plataforma de análise financeira, as mensagens podem abordar temas como recomendações de investimento, alertas sobre a carteira, renovação de assinatura ou verificação da conta.

Em plataformas de investimento e análise de mercado como a MarketsMojo, os usuários acompanham informações para tomar decisões financeiras. Quando um invasor sabe que o usuário tem vínculo com uma plataforma desse tipo, pode preparar mensagens de golpes de investimento mais convincentes. Podem ser usados temas como falsos alertas sobre ações, renovação de assinatura premium, verificação da carteira, atualizações do aplicativo, conferência de formas de pagamento ou vinculação de contas de corretoras.

Informações de contas bancárias, dados de cartões e o conteúdo das carteiras não foram incluídos na descrição deste registro porque não foram verificados. No entanto, mesmo os dados de e-mail e telefone já são um forte ponto de partida para fraudes financeiras. Como o usuário de fato utiliza uma plataforma de investimento, pode responder mais rapidamente a mensagens sobre oportunidades de investimento ou alertas urgentes de mercado. Esse risco de engenharia social torna o registro especialmente relevante.

Antes da inclusão, foi feita uma busca por duplicidades nos registros existentes para MarketsMojo, Markets Mojo, marketsmojo.com e variantes relacionadas do nome. Como não foi encontrado nenhum registro único já existente, este foi tratado como um novo registro. Sua inclusão foi aceita porque o domínio, a data de março de 2021, as centenas de milhares de registros de usuários e as categorias de dados, incluindo e-mail, telefone, nome de usuário e hashes de senhas bcrypt, aparecem juntos em listas acessíveis.

Apesar disso, não foi identificado nenhum comunicado oficial abrangente do operador da plataforma que confirme todos os detalhes técnicos, o número de registros e as categorias de dados afetadas. Por isso, o registro foi mantido como não verificado. Campos adicionais mencionados em fontes menos sólidas, como endereço físico, não foram incluídos nas categorias de dados. Este registro utiliza apenas campos com respaldo mais sólido e não apresenta como certos os pontos ambíguos.

Se você usou a senha da sua conta MarketsMojo em outros serviços, a primeira medida deve ser trocá-la. Hashes bcrypt não são senhas diretamente legíveis em texto simples; no entanto, se você usou uma senha fraca ou a mesma senha em outros vazamentos, o risco aumenta. Contas de e-mail, aplicativos financeiros, contas de corretoras, plataformas de compras e contas de redes sociais devem ter prioridade.

Como o número de telefone foi exposto, o phishing por SMS também é um risco real. Invasores podem enviar mensagens sobre alertas de mercado, oportunidades de investimento, verificação da carteira, renovação de pagamento ou atualizações de segurança do aplicativo. Essas mensagens podem conter links encurtados, páginas de login falsas ou links para baixar aplicativos maliciosos. Você deve ter cuidado especial com mensagens de conteúdo financeiro.

• A senha da conta MarketsMojo deve ser trocada por uma senha forte e exclusiva.
• As senhas de contas financeiras, de e-mail e de redes sociais que usam a mesma senha devem ser alteradas.
• A verificação em duas etapas deve ser ativada nos aplicativos financeiros.
• Links de investimento recebidos por SMS ou e-mail não devem ser abertos diretamente.
• Solicitações de verificação de contas de corretoras ou de pagamento devem ser conferidas no aplicativo oficial.
• Códigos de verificação solicitados por telefone não devem ser compartilhados com ninguém.
• Recomendações de investimento ou mensagens sobre oportunidades urgentes de mercado devem ser verificadas em uma fonte independente.

Bcrypt é um algoritmo lento e de alto custo computacional, projetado para armazenar senhas. Quando configurado corretamente, dificulta que invasores obtenham a senha original a partir dos hashes. No entanto, nem toda implementação de bcrypt oferece o mesmo nível de proteção. Se o parâmetro de custo for baixo, a senha for curta ou comum, ou o usuário tiver usado a mesma senha em outros vazamentos, os invasores ainda podem obter uma vantagem.

Por isso, você não deve interpretar a menção a bcrypt como uma garantia de segurança completa. A abordagem mais segura é considerar a possibilidade de a senha ter sido descoberta e usar uma nova senha exclusiva. Se a mesma senha foi usada em outras contas financeiras ou de e-mail, o risco é mais grave. Criar senhas longas e aleatórias com um gerenciador de senhas reduz esse risco.

Usuários de plataformas de análise financeira podem ser alvos atraentes para fraudes. Quando um invasor conhece os interesses de investimento do usuário, pode enviar mensagens sobre falsas recomendações de ações, relatórios exclusivos, análises premium, períodos de teste gratuitos, alertas sobre a carteira ou documentos fiscais. Se houver um número de telefone disponível, a mesma campanha também pode ser conduzida por SMS ou aplicativos de mensagens.

Você não deve tomar decisões de investimento com base em links recebidos por e-mail ou SMS. Não baixe aplicativos fora da loja oficial de aplicativos, acesse corretoras por endereços confiáveis digitados manualmente ou salvos e confira solicitações de pagamento e assinatura no painel oficial. Mensagens financeiras que criam uma sensação de urgência devem ser consideradas especialmente suspeitas.

Plataformas de tecnologia financeira e pesquisa de investimentos devem se concentrar não apenas na segurança das senhas, mas também no possível uso indevido de dados de contato. Se endereços de e-mail e números de telefone forem armazenados juntos, devem ser implementados controles de acesso, mascaramento, restrições de download e monitoramento de anomalias. A autenticação multifator deve ser obrigatória nos painéis administrativos, as exportações de dados de clientes devem ser registradas em logs e campos desnecessários não devem ser armazenados por longos períodos.

Quando há suspeita de vazamento, não basta apenas orientar o usuário a trocar a senha. É preciso explicar claramente os riscos de fraudes financeiras, phishing por SMS, falsas oportunidades de investimento e armadilhas de renovação de assinatura. Se o usuário souber quais ataques podem ocorrer, poderá avaliar melhor as mensagens recebidas. Pelo contexto financeiro, a estratégia de comunicação é tão importante quanto os detalhes técnicos.

O vazamento de dados da MarketsMojo é um registro de incidente associado à plataforma de pesquisa de investimentos marketsmojo.com que, segundo os relatos, afetou aproximadamente 450.949 registros de usuários durante março de 2021. As categorias de dados que teriam sido expostas incluem endereços de e-mail, números de telefone, nomes de usuário e hashes de senhas bcrypt. Essas informações representam riscos para a segurança da conta e podem ser usadas em phishing por SMS e fraudes financeiras.

O registro não foi marcado como verificado porque não há confirmação oficial de uma fonte primária. Ainda assim, o domínio, a data, o número de registros e as categorias de dados foram incluídos para informar os usuários, pois aparecem de forma consistente em registros públicos de vazamentos. Usuários da MarketsMojo devem trocar suas senhas, ativar a autenticação de dois fatores nas contas financeiras, evitar clicar em links de investimento recebidos por SMS ou e-mail e não compartilhar códigos de verificação com ninguém.

Dados de e-mail e telefone associados a plataformas financeiras podem ser combinados com outros conjuntos de dados ao longo do tempo. Se um usuário utiliza o mesmo e-mail em uma corretora, um banco, um fórum de investimentos ou uma newsletter, um invasor pode criar um perfil de investimento mais completo. Esse perfil pode ser usado para falsas oportunidades de investimento ou mensagens de golpe personalizadas.

A longo prazo, você deve usar senhas diferentes e fortes para suas contas financeiras, de preferência usar um endereço de e-mail separado para notificações financeiras, adotar autenticação multifator por aplicativo além da verificação por SMS e tomar decisões de investimento apenas com base em fontes verificadas. Um registro antigo de vazamento ainda pode ser usado em novas tentativas de fraude enquanto o telefone e o e-mail não tiverem mudado.

Em algumas listas referentes à MarketsMojo, podem aparecer campos de dados adicionais, como endereços físicos; no entanto, esses campos não foram incluídos no campo dataClasses porque não têm respaldo com a mesma clareza nos registros detalhados. Essa decisão não foi tomada para minimizar o impacto do vazamento, mas para evitar apresentar aos usuários um escopo não verificado como informação definitiva. E-mail, telefone, nome de usuário e hashes de senhas já compõem um perfil de risco suficiente para exigir medidas de segurança.

No futuro, o registro poderá ser atualizado se uma fonte mais sólida verificar os campos de endereço físico ou de outros dados financeiros. No momento, a abordagem mais precisa é alertar o usuário com os campos essenciais verificáveis e explicar claramente o risco de engenharia social no contexto financeiro. Por isso, a descrição se concentra especificamente em phishing por SMS, falsas notificações de investimento, renovações de assinatura e armadilhas de verificação de conta.

Os riscos de registros de vazamentos que contêm números de telefone não se limitam à segurança do e-mail. Um invasor pode ligar para o usuário, enviar mensagens ou se passar por representante de um aplicativo de investimentos. Códigos de uso único enviados ao usuário, solicitações de compartilhamento de tela e pedidos de suporte remoto são particularmente perigosos. Por isso, usuários da MarketsMojo devem usar autenticação multifator por aplicativo nas contas financeiras e não compartilhar nenhum código recebido por telefone.