Vazamento de dados do MeetMindful em 2020

Os tipos de dados confirmados neste registro abrangem um conjunto amplo de informações com grande impacto sobre a privacidade. Quando endereço de e-mail, nome completo, nome de usuário, endereço IP e localização geográfica aparecem juntos, é possível associar o perfil de relacionamento de uma pessoa à sua identidade real. A data de nascimento e o gênero fornecem contexto adicional para associar perfis e realizar tentativas de phishing direcionado. Estado civil, crenças religiosas, orientação sexual, características físicas e preferências de estilo de vida representam riscos sérios não apenas para a segurança, mas também para a privacidade e a reputação.

O armazenamento das senhas como hashes bcrypt é um aspecto positivo; isso, porém, não dispensa medidas por parte dos usuários. Senhas fracas, reutilizadas ou que tenham aparecido em outros vazamentos ainda podem ser testadas em tentativas de acesso. Links para perfis em redes sociais podem ser usados para acessar outras contas de uma pessoa, conhecer seu círculo de amigos ou preparar mensagens mais convincentes. Por isso, um cadastro no MeetMindful não deve ser tratado como um simples vazamento de dados cadastrais, mas como um vazamento de dados sensíveis que afeta, ao mesmo tempo, a privacidade do perfil de relacionamento e a segurança da conta.

O escopo verificado deve ser avaliado com base no domínio do MeetMindful, na data da violação, 26 de janeiro de 2020, na data de inclusão do registro, 31 de janeiro de 2021, e nas 1.422.717 contas afetadas. Registros independentes e notícias de fontes confiáveis sustentam que o incidente está associado ao serviço de relacionamentos on-line, que as senhas eram armazenadas como hashes bcrypt e que os campos dos perfis contêm uma ampla variedade de dados sensíveis. Portanto, o setor da organização deve ser classificado como relacionamentos on-line e comunidade voltada à vida consciente, não como varejo. Como existem perfis empresariais confiáveis que indicam a ligação da empresa com Denver, Colorado, o campo de país pode permanecer como Estados Unidos.

Este registro não deve ser apresentado como se contivesse dados de cartões de pagamento, contas bancárias, conteúdo de mensagens privadas ou documentos de identificação. Embora algumas reportagens mencionem quantidades maiores de registros brutos ou de detalhes de perfis, o número considerado nas verificações de segurança de contas é a contagem verificada de contas ou e-mails únicos. Essa distinção é importante: o risco apresentado ao usuário deve ser definido com base nas categorias de dados verificadas e nas correspondências de contas que podem ser consultadas. Um método de ataque, a identidade do invasor ou uma causa técnica não confirmados não devem ser descritos como parte obrigatória do incidente.

O maior risco é para usuários que reutilizam o endereço de e-mail e a senha da conta do MeetMindful em outras contas. Nesses casos, também devem ser verificadas a caixa de entrada do e-mail, as contas em redes sociais, em outros serviços de relacionamento, em serviços de nuvem e em serviços relacionados a pagamentos. O risco de associação entre perfis aumenta para quem combina o perfil de relacionamento com nome real, informações sobre a cidade, links para redes sociais ou informações de perfil centradas em fotos. A exposição de preferências sensíveis do perfil pode ser explorada para assédio direcionado, pressão social, tentativas de chantagem ou mensagens destinadas a causar constrangimento.

O risco se torna mais complexo para usuários que se cadastram com um e-mail profissional, pois o perfil de relacionamento privado pode ser associado à identidade no trabalho. Usuários que acessam a conta em dispositivos compartilhados, mantêm a senha antiga por muito tempo ou vinculam uma conta de rede social também devem ter cuidado. As informações de localização e IP, por si só, não permitem determinar um endereço com certeza, mas, quando analisadas junto com nome completo, cidade e detalhes do perfil, podem facilitar a identificação da pessoa. Por isso, a avaliação de risco deve considerar não apenas a tomada de controle da conta, mas também os impactos sobre a privacidade e os riscos de engenharia social direcionada.

Usuários que encontrarem uma correspondência com o MeetMindful devem primeiro alterar a senha usada nessa conta e em todas as outras contas em que ela tenha sido reutilizada. A nova senha deve ser exclusiva, armazenada em um gerenciador de senhas e não reutilizada em nenhum outro serviço. A proteção da conta de e-mail deve ser prioridade, pois links de redefinição de senha, alertas de segurança e notificações de acesso costumam chegar à mesma caixa de entrada. A autenticação de dois fatores deve ser ativada na conta de e-mail, os endereços de recuperação devem ser conferidos e as sessões desconhecidas devem ser encerradas.

O segundo passo é revisar as contas em redes sociais e os nomes de usuário semelhantes associados ao perfil de relacionamento. Alertas de segurança enviados por desconhecidos, pedidos de verificação de perfil, solicitações de fotos, pedidos de dinheiro ou mensagens que solicitem informações pessoais devem ser considerados suspeitos. Em vez de clicar em links nas mensagens, acesse diretamente o serviço correspondente. Se você receber mensagens ameaçadoras que mencionem aspectos sensíveis, como orientação sexual, crenças religiosas, uso de substâncias ou preferências de relacionamento, preserve as evidências sem apagá-las e adote as medidas de segurança da conta sem demora.

Este incidente mostra que as informações de perfil compartilhadas em serviços de relacionamento e de descoberta de novas conexões sociais podem afetar a segurança mesmo anos depois. Os usuários devem reduzir regularmente as informações privadas nos campos dos perfis, limitar os links para redes sociais acessíveis ao público e evitar repetir o mesmo nome de usuário em várias contas. O uso de um gerenciador de senhas facilita a criação de uma senha diferente para cada conta. A autenticação de dois fatores deve ser considerada uma medida padrão de segurança, especialmente para contas de e-mail, redes sociais e serviços de relacionamento.

Para os prestadores de serviços, a lição é que as informações privadas dos perfis de relacionamento não podem ser tratadas como dados comuns de marketing. Esses dados devem ser considerados pelo menos tão sensíveis quanto as credenciais de acesso às contas; as permissões de acesso devem ser limitadas, dados desnecessários não devem ser retidos, campos antigos dos perfis devem ser limpos regularmente e os usuários devem ter opções claras de exclusão. Mesmo que o método de hashing de senhas seja robusto, a notificação dos usuários após um vazamento, a troca de senhas, o encerramento de sessões e o monitoramento de acessos suspeitos devem ocorrer sem demora. A comunicação transparente e o princípio da minimização de dados são requisitos fundamentais de segurança em serviços que contêm dados privados.

Se você encontrar uma correspondência com o MeetMindful no LeakData, trate-a como um vazamento de dados sensíveis de perfis de relacionamento ocorrido em 2020. A correspondência não significa que sua conta esteja atualmente comprometida; no entanto, seu endereço de e-mail, os campos do seu perfil, seu nome de usuário, informações de IP e localização e o hash bcrypt da sua senha podem estar incluídos neste registro. A prioridade é deixar de usar a mesma senha em várias contas, reforçar a segurança do e-mail e verificar as conexões com redes sociais.

Para este registro, a simples troca de senha não deve ser considerada suficiente. A privacidade do perfil, a associação com redes sociais e o possível uso indevido de preferências sensíveis também devem ser levados em conta. Encerre seus perfis antigos em serviços de relacionamento ou reduza as informações nos campos; revise os dados visíveis nas contas em que você usa o mesmo nome de usuário. Este registro também é importante para as instituições: devem ser realizadas regularmente auditorias para impedir que funcionários reutilizem senhas de contas pessoais em contas de trabalho, além da aplicação de políticas de autenticação de dois fatores.