Vazamento de dados de MC2 Data

Os tipos de dados identificados neste registro são endereços de e-mail, nomes e senhas. A avaliação indicou que as senhas são armazenadas como hashes SHA-256 com salt; o risco permanece para senhas fracas ou reutilizadas. Cartões de pagamento, contas bancárias, mensagens privadas, documentos oficiais de identificação, registros de saúde ou campos adicionais de perfil não verificados não foram adicionados à lista de classes de dados; foram mantidos apenas os campos respaldados por evidências.

No contexto do serviço de verificação de antecedentes, os dados podem facilitar o envio, por invasores, de mensagens ao usuário que aparentem ser consultas oficiais, verificações de identidade ou comunicações sobre assinaturas. Um endereço de e-mail, por si só, representa um risco de recebimento de mensagens não solicitadas; quando combinado com número de telefone, endereço, IP, data de nascimento, foto, número de documento de identificação ou dados de rastreamento de dispositivos, fica mais fácil para um invasor criar mensagens personalizadas para o usuário. Por isso, o risco é avaliado não apenas com base no número de registros, mas também na possibilidade de usar os dados em conjunto.

O alcance foi verificado em 2,12 milhões de registros de assinantes em agosto de 2024. Os aspectos confirmados foram preservados, enquanto os não confirmados foram excluídos. O incidente não foi agrupado com outras marcas, registros com nomes semelhantes ou eventos da mesma empresa ocorridos em períodos diferentes.

Alegações sobre um conjunto mais amplo de dados pessoais não foram adicionadas às classes de dados canônicas deste registro; o registro ficou limitado aos campos de e-mail, nome e senha dos assinantes. Essa abordagem evita entradas duplicadas de vazamentos e a atribuição incorreta de responsabilidade a organizações na informação apresentada ao usuário. As informações de domínio, nome da empresa e setor foram mantidas no contexto mais restrito possível sem perder a precisão; nos casos de incerteza, a marcação de verificação ou o campo de site foi definido de acordo com essa condição.

Os grupos de usuários em risco podem incluir pessoas com contas de assinatura na MC2 Data ou em marcas associadas. Usuários cujos dados correspondam aos do registro também devem avaliar outras contas nas quais usem o mesmo e-mail, número de telefone, nome de usuário ou padrão de senha, além da conta em questão.

As tentativas de tomada de controle de contas tornam-se mais graves para pessoas que usam a mesma senha em outras contas profissionais, financeiras ou de e-mail. Se houver um contexto de e-mail corporativo, conta infantil ou familiar, registro público, identidade em jogos, comunidade de alfabetização, software de rastreamento ou serviço profissional, o risco de engenharia social pode aumentar. Você não deve considerar detalhes aparentemente corretos sobre si como um sinal de confiabilidade.

Usuários afetados devem alterar a senha usada nas contas relacionadas à MC2 Data e em todas as contas que utilizem a mesma senha. Quando o registro contém um campo de senha, todas as contas que usam a mesma senha devem ser atualizadas; quando não há esse campo, o foco deve estar nos riscos relacionados a telefone, e-mail, notificações falsas e cruzamento de informações de identidade.

Em vez de clicar nos links da mensagem, você deve digitar manualmente o endereço do serviço correspondente ou usar a entrada salva em um gerenciador de senhas confiável. Mensagens sobre entregas, suporte, recompensas de jogos, alertas de conta, registros públicos, notificações de segurança, compartilhamento de documentos ou renovação de assinatura não devem ser aceitas sem verificação por um canal independente.

Para serviços de intermediação de dados e verificação de antecedentes, você deve usar um e-mail separado, uma senha exclusiva e o mínimo de informações de perfil. Também deve revisar regularmente e remover contas antigas, campos de perfil desnecessários, nomes de usuário duplicados e informações desatualizadas de telefone e endereço. A regra básica deve ser usar uma senha exclusiva para cada serviço e autenticação de dois fatores sempre que possível.

Do ponto de vista dos prestadores de serviços, são necessários a minimização de dados, a proteção robusta de senhas, o monitoramento de registros de acesso, a exclusão de campos desnecessários e a preparação de processos de notificação aos usuários. Para empresas de intermediação de dados, o controle de acesso e a detecção de serviços sem senha são requisitos básicos de segurança. Descrever o alcance com precisão também faz parte do trabalho de segurança; informações exageradas ou incompletas podem levar o usuário a tomar medidas inadequadas.

Você deve primeiro verificar este registro usando seu endereço de e-mail. Se houver uma correspondência, deve considerar que os campos de nome e senha podem estar em risco e atualizar primeiro as contas que usam a mesma senha. A ausência de correspondência não descarta completamente o uso de outros e-mails ou a reutilização de senhas antigas; contas críticas também devem ser revisadas.

Este registro foi verificado e mantido como sensível; campos abrangentes de dados pessoais sem verificação não foram adicionados. Nesta organização do registro, os campos de dados foram mantidos como classes canônicas em inglês, a descrição visível ao usuário foi escrita em turco, com redação original, campos não verificados não foram adicionados e a marcação de sensibilidade foi usada apenas quando respaldada pelo contexto de risco.