Vazamento de dados de Mashable

Os endereços de e-mail presentes no registro da Mashable podem ser usados em mensagens de phishing com temas como alertas de segurança falsos, avisos sobre contas de plataformas de mídia, renovações de assinatura ou conexões em redes sociais. Informações como nome, gênero e data de nascimento parcial fazem essas mensagens parecerem personalizadas. Os campos de endereço IP e localização geográfica não indicam um endereço completo, mas podem fornecer pistas sobre a região geral de onde o usuário se conecta ou o contexto de seu perfil. Já os links de perfis de redes sociais podem permitir associações com outros aspectos da identidade on-line do usuário.

Os tokens de autenticação são a parte deste registro que exige mais cuidado. As informações confirmadas indicam que os tokens expiraram; portanto, não se deve afirmar de forma definitiva que a sessão atual foi comprometida. Ainda assim, o histórico dos tokens mostra que um recurso de login por redes sociais pode ter estado em risco. Quando links de perfis sociais e endereços de e-mail são usados em conjunto, mensagens falsas de suporte, alertas de segurança da conta e tentativas de phishing personalizado podem se tornar mais eficazes.

O escopo confirmado abrange 1.414.677 endereços de e-mail únicos, a data do vazamento de 1 de junho de 2020, a data de inclusão de 10 de novembro de 2020 e oito tipos de dados: tokens de autenticação, endereços de e-mail, gêneros, localizações geográficas, endereços IP, nomes, datas de nascimento parciais e perfis de redes sociais. As informações parciais sobre a data de nascimento se limitam ao dia e ao mês; não devem ser descritas como uma data de nascimento completa. Senhas, números de telefone, endereços físicos, cartões de pagamento, contas bancárias e documentos oficiais de identificação não constam como campos confirmados no registro.

Neste registro, é importante manter a distinção entre vazamento de dados e tomada direta de controle de uma conta. A informação sobre tokens expirados indica um risco relacionado a uma sessão antiga de rede social ou a um vínculo de login; porém, não se deve concluir que as chaves de sessão atuais ainda podem ser usadas. Os principais riscos comunicados ao usuário devem se concentrar no cruzamento de perfis sociais, no phishing direcionado, na perda de privacidade, em mensagens falsas personalizadas com informações de nome e localização e no uso indevido do endereço de e-mail.

Os usuários com maior risco são aqueles que vincularam sua conta da Mashable a perfis de redes sociais e usam o mesmo endereço de e-mail em várias contas de plataformas de mídia ou redes sociais. Usuários com links públicos para seus perfis sociais podem receber alertas falsos de compartilhamento, avisos falsos de direitos autorais, notificações de assinatura ou mensagens de segurança da conta. Informações como data de nascimento parcial, nome e gênero ajudam a fazer essas mensagens parecerem mais pessoais.

O risco de cruzamento de perfis é mais acentuado para pessoas com perfis de redes sociais acessíveis ao público. Informações de IP e localização geográfica, por si só, não fornecem um endereço completo, mas podem dar pistas sobre a região geral do usuário ou seus hábitos de conexão. Quem usa o e-mail profissional junto com logins por redes sociais também deve ter cuidado redobrado: se informações de contas pessoais de plataformas de mídia forem combinadas com a identidade profissional, notificações empresariais falsas ou ataques que simulam comunicações de marcas podem se tornar mais convincentes.

Se você encontrar uma correspondência no registro da Mashable, primeiro verifique seu endereço de e-mail afetado e as contas de redes sociais associadas a ele. Mesmo que não haja senhas entre os campos de dados confirmados, se você usou o login por redes sociais, revise as permissões dos aplicativos e as sessões ativas nas contas conectadas. Ative a autenticação de dois fatores na sua conta de e-mail, verifique os endereços de recuperação e encerre as sessões desconhecidas. Mantenha os alertas de segurança ativados nas contas de plataformas de mídia, redes sociais e assinaturas que você usa com o mesmo e-mail.

Não clique diretamente em links recebidos em nome da Mashable ou de uma conta de plataforma de mídia; acesse o domínio por conta própria para verificar a conta. Não responda a mensagens que solicitem acesso às redes sociais, códigos de recuperação, informações adicionais de segurança ou dados de pagamento. Mensagens que contêm detalhes personalizados, como nome, data de nascimento parcial ou localização, podem parecer mais convincentes; por isso, mesmo que a mensagem contenha informações pessoais corretas, não presuma que a solicitação seja legítima.

Para se proteger a longo prazo, revise periodicamente as contas usadas para login por redes sociais. Revise e limpe a lista de aplicativos vinculados às contas de redes sociais, remova as permissões de aplicativos que você não usa e mantenha configurações de segurança próprias para as contas de plataformas de mídia. Você pode usar o endereço de e-mail principal para contas críticas e um endereço separado, de menor risco, para contas de plataformas de mídia e assinaturas. Essa separação dificulta que um único vazamento em uma conta de plataforma de mídia se estenda a toda a sua identidade digital.

Reduza a exposição de nome, localização, aniversário e conexões sociais no perfil quando essas informações não forem necessárias. É importante estar ciente de que manter os perfis de redes sociais públicos pode aumentar o risco de mensagens direcionadas. Verificações regulares das contas, autenticação de dois fatores, remoção de permissões de login por redes sociais e hábitos de segurança no e-mail oferecem proteção duradoura após vazamentos desse tipo. Mesmo que o vazamento seja antigo, o mesmo e-mail e os links de perfis sociais podem ser usados em campanhas de phishing anos depois.

Se você encontrar uma correspondência no vazamento da Mashable, primeiro liste suas contas de redes sociais e plataformas de mídia vinculadas ao endereço de e-mail afetado. Depois, verifique as sessões abertas, as permissões dos aplicativos conectados, as opções de recuperação e os alertas de segurança nessas contas. Se o mesmo endereço de e-mail também for usado em contas profissionais ou contas pessoais críticas, certifique-se de que a autenticação de dois fatores e as informações de recuperação estejam atualizadas nessas contas. Reduzir os links para seus perfis sociais diminui o risco de cruzamento de perfis no futuro.

Este registro não deve ser considerado um vazamento de senhas, números de telefone, endereços físicos ou cartões de pagamento; o risco confirmado decorre da combinação de e-mail, nome, gênero, data de nascimento parcial, IP, localização geográfica, perfil social e tokens expirados. Embora o vazamento da Mashable tenha ocorrido em 2020, essas informações ainda podem ser usadas em mensagens direcionadas hoje. A medida mais adequada é reforçar a segurança da conta de e-mail, remover permissões de login por redes sociais desnecessárias e ter cautela com notificações falsas de plataformas de mídia que contenham informações pessoais.