Vazamento de dados da MEO em 2020

Neste registro, o identificador do cliente, as informações de contato e o histórico de compras estão reunidos no mesmo conjunto de dados. A combinação de endereço de e-mail, nome completo, número de telefone e endereço físico permite o envio de mensagens sobre entrega, devolução, pagamento, garantia ou informações de produtos que parecem autênticas para o usuário. As informações de compras podem indicar as preferências de uma pessoa em relação a máscaras e filtros. O nome de usuário pode ajudar a associar a mesma pessoa a outras contas de comércio eletrônico ou fóruns.

É especialmente importante observar que os dados de senha estão no formato de hash MD5 WordPress. Isso não significa que a senha esteja em texto simples; no entanto, esse formato antigo de hash não oferece resistência suficiente para proteger senhas fracas. Senhas curtas, presentes em dicionários, que contêm informações pessoais ou que são reutilizadas em outros serviços são mais fáceis de adivinhar. Por isso, o risco associado ao registro da MEO não se limita a uma conta de compras. Se o mesmo padrão de uso de senhas se repetir em contas de e-mail, compras, redes sociais ou trabalho, existe a possibilidade de comprometimento de contas em cadeia.

O escopo verificado abrange o domínio meoair.com, a data do incidente de 24 de dezembro de 2020, a data de inclusão de 24 de abril de 2023 e 8.227 registros de clientes afetados. Registros confiáveis identificam a MEO como uma empresa de máscaras faciais sediada na Nova Zelândia. Portanto, é mais preciso indicar a Nova Zelândia como país da empresa, em vez dos Estados Unidos, e classificar seu setor como máscaras faciais de proteção e comércio eletrônico, em vez de varejo em geral. Atualmente, o site está acessível e oferece vendas on-line e páginas de produtos.

Neste registro, números de cartão de pagamento, contas bancárias, documentos de identidade, datas de nascimento e dados sensíveis de saúde não estão entre as categorias de dados verificadas. Há informações de compras, mas elas não devem ser confundidas com dados de cartões de pagamento. Como não há um registro público conclusivo e detalhado sobre a causa técnica, a explicação deve se limitar aos campos de dados verificados e ao impacto para os usuários. A informação de que a organização não respondeu às tentativas de notificação pode ser mantida em uma nota interna sobre a fonte. Na seção voltada ao usuário, o foco principal deve ser quais dados foram expostos, quais riscos isso representa e que medidas são necessárias.

O maior risco está entre os clientes que reutilizam a senha da conta da MEO em outras contas. Em especial, quem usa a mesma combinação de e-mail e senha na conta de e-mail, em outros sites de compras, em serviços de entrega ou em contas relacionadas a pagamentos deve tomar precauções rapidamente. Registros de clientes que contêm endereços físicos e números de telefone podem tornar mais convincentes as chamadas e mensagens falsas enviadas sob o pretexto de uma entrega. O nome de usuário também pode permitir associações com registros antigos de comércio eletrônico ou fóruns.

Clientes que compram máscaras faciais e filtros podem ficar suscetíveis a publicidade direcionada, campanhas falsas e fraudes de devolução de produtos por terem necessidades periódicas de produtos de saúde ou proteção. O histórico de compras pode ajudar os invasores a criar assuntos de mensagens que parecem pessoais, como 'seu pedido', 'seu endereço de entrega', 'sua solicitação de devolução' ou 'sua assinatura de reposição de filtros'. Embora esse conjunto de dados possa parecer pequeno, a combinação de informações de endereço, telefone, compras e senha aumenta o risco prático para o usuário.

Usuários que encontrarem uma correspondência com a MEO devem primeiro alterar a senha da conta da MEO e de todas as contas em que usam a mesma senha ou uma semelhante. As novas senhas devem ser exclusivas e armazenadas em um gerenciador de senhas. A proteção da conta de e-mail deve ser priorizada, pois os links de redefinição de senha e as notificações de pedidos geralmente chegam à mesma caixa de entrada. É necessário ativar a autenticação de dois fatores na conta de e-mail, verificar as opções de recuperação e encerrar sessões desconhecidas.

Devido à presença de informações de endereço, telefone e compras, os usuários devem ter cuidado com mensagens enviadas sob o pretexto de transporte de encomendas, devoluções, filtros de máscaras, garantia, cancelamento de pedidos ou verificação de pagamentos. Em vez de abrir um formulário de login pelo link da mensagem, devem acessar diretamente o site correspondente. Se alguém solicitar número do pedido, endereço, informações de pagamento ou código de segurança durante uma ligação, o procedimento deve ser interrompido e verificado pelo canal oficial de comunicação da organização. Ao receber uma notificação suspeita de pedido ou encomenda, é importante salvar uma captura de tela e não adiar as medidas de segurança da conta.

Este incidente mostra que mesmo pequenos conjuntos de dados de clientes podem gerar riscos em várias frentes. Os usuários não devem reutilizar a mesma senha em contas de compras, deixar seus endereços de entrega armazenados em serviços desnecessários nem manter contas de lojas que não usam mais. Nas contas em lojas, é importante manter o endereço de e-mail, o número de telefone e as informações de endereço atualizados, mas fornecer apenas o mínimo necessário. Um gerenciador de senhas oferece uma camada adicional de proteção à conta de e-mail ao gerar senhas fortes e exclusivas.

Para os prestadores de serviços, o formato de hash de senha, a minimização de dados e a gestão de notificações são questões fundamentais. É necessário abandonar formatos antigos de hash baseados em MD5, usar métodos robustos de armazenamento de senhas e evitar a retenção prolongada de dados desnecessários de clientes. No comércio eletrônico, as informações de compras, endereço e telefone devem ser protegidas com acesso restrito. Ao receber uma notificação de segurança, o prestador deve verificar o caso rapidamente e notificar os usuários. A confiança do cliente é mantida não apenas durante a venda, mas também na proteção dos dados e na comunicação após um vazamento.

Se você encontrar uma correspondência com a MEO no LeakData, considere-a um incidente de 2020 envolvendo o vazamento de dados de clientes do comércio eletrônico de máscaras faciais. A correspondência indica que seu endereço de e-mail, nome completo, número de telefone, endereço físico, informações de compras, nome de usuário e senha no formato de hash MD5 WordPress podem ter sido incluídos neste registro. O primeiro passo é deixar de compartilhar a mesma senha entre contas, atribuindo uma senha diferente a cada uma, e reforçar a proteção da sua conta de e-mail.

Neste registro, preste atenção especial aos riscos de fraude envolvendo entregas e pedidos. Mensagens com detalhes como endereço de entrega, produto filtrado, pedido de máscaras ou solicitação de devolução não devem ser consideradas confiáveis, mesmo que pareçam pessoais. Verifique o domínio antes de abrir um link, não insira informações em formulários que solicitem dados de pagamento ou códigos de segurança e encerre ligações suspeitas. A lição também é clara para as organizações: é necessário impedir que funcionários reutilizem senhas de contas de compras em contas de trabalho e realizar regularmente treinamentos sobre phishing com foco em e-mail.