Vazamento de dados da MGM Resorts em 2019

Embora os dados expostos neste registro não incluam diretamente senhas de contas, sua combinação pode facilitar a identificação de pessoas e fraudes direcionadas. Com nome completo, endereço de e-mail, número de telefone, endereço físico e data de nascimento, um invasor poderia elaborar mensagens que pareçam personalizadas, relacionadas a reservas de hotel, notificações de programas de fidelidade, confirmações de pagamento, upgrades de quarto, reembolsos ou planos de viagem. Como empresas de hospedagem e entretenimento, como a MGM Resorts, se comunicam com hóspedes por diversos canais, o risco de engenharia social aumenta por e-mail, SMS e ligações telefônicas.

A data de nascimento e o endereço podem ser usados para cruzar a identidade de uma pessoa com informações de outras fontes. O número de telefone permite o contato direto por meio de uma falsa ligação ou mensagem de suporte. O endereço físico fornece contexto adicional para a criação de perfis pessoais e para publicidade ou fraudes direcionadas. Portanto, o risco não se limita a spam: ganham destaque situações como phishing, avisos falsos de reserva, fraudes em contas de fidelidade e agregação de dados pessoais. No entanto, não se deve informar ao usuário que houve vazamento de senhas ou cartões de pagamento neste registro.

O escopo verificado inclui o domínio mgmresorts.com, a data do vazamento de 25 de julho de 2019, a data de inclusão de 20 de fevereiro de 2020, 3.081.321 endereços de e-mail únicos e 10,6 milhões de registros de hóspedes. Segundo os relatos, o conjunto de dados está associado a um dos serviços de nuvem usados pela MGM Resorts, foi posteriormente distribuído em um fórum e voltou a ser compartilhado por diferentes fontes. Um conjunto de dados mais abrangente, considerado relacionado ao mesmo incidente, também foi monitorado em 2022. Por isso, o registro inicial da MGM Resorts não deve ser confundido com a contagem do conjunto ampliado de 2022.

Não devem ser adicionados a este registro campos de cartão de crédito, conta bancária, senha, número de seguridade social, passaporte ou carteira de habilitação. Embora algumas auditorias oficiais mencionem tipos de números de identificação para subgrupos específicos, em um registro público destinado ao usuário, as categorias padrão de dados verificadas se limitam a data de nascimento, e-mail, nome completo, número de telefone e endereço físico. A MGM Resorts atua nos setores de hotelaria, cassinos, hospedagem e entretenimento; portanto, manter o campo de setor como tecnologia em geral seria enganoso. O campo de país pode ser mantido como Estados Unidos.

O maior risco recai sobre hóspedes que se hospedaram em estabelecimentos da MGM Resorts, fizeram uma reserva, usaram uma conta de fidelidade ou entraram em contato com a marca por e-mail ou telefone. A combinação de nome, endereço, número de telefone e data de nascimento, quando associada ao histórico de viagens, pode tornar mais convincentes as mensagens fraudulentas que parecem personalizadas. O risco pode ser maior para pessoas que usam os estabelecimentos da MGM em viagens de negócios, devido à ligação entre endereços de e-mail corporativos e informações de hospedagem privada.

Pessoas cujo número de telefone e endereço de e-mail estejam disponíveis ao mesmo tempo podem ser alvo de falsas confirmações de reserva, notificações de pontos de fidelidade, promoções de cassino, reembolsos de hospedagem ou solicitações de verificação de pagamento. Para usuários cujo endereço físico também esteja disponível, as informações pessoais usadas em perguntas de verificação de identidade podem se tornar previsíveis. Como este registro não contém senhas, não é correto presumir que ele permita a tomada direta de contas. No entanto, tentativas de obter senhas ou informações de pagamento do usuário por meio de phishing e mensagens de engenharia social representam um risco realista.

Se você encontrar uma correspondência com a MGM Resorts, revise primeiro, com atenção, as mensagens sobre reservas, reembolsos, pagamentos, pontos de fidelidade ou promoções recebidas por e-mail e telefone. Em vez de acessar sua conta pelo link da mensagem, entre diretamente no serviço correspondente pela barra de endereços. Se, durante uma ligação, forem solicitadas informações pessoais, como data de nascimento, endereço, informações de pagamento, código de verificação ou dados de cartão, encerre a conversa e confirme a solicitação pelo canal oficial de comunicação.

Embora senhas não sejam uma categoria de dados verificada neste registro, proteja sua conta de e-mail. Use uma senha forte e exclusiva para essa conta, ative a verificação em duas etapas e encerre sessões desconhecidas. Para contas do MGM Rewards ou de programas semelhantes de viagens e fidelidade, revise as notificações de segurança e o telefone e e-mail cadastrados. Dados de cartão de crédito ou de contas bancárias não fazem parte do escopo verificado deste registro; ainda assim, confira notificações suspeitas de reservas e pagamentos pelos canais oficiais.

Programas de hospedagem, viagens e fidelidade exigem uma gestão de privacidade de longo prazo, pois coletam dados de contato e endereço, além de informações de identificação. Exclua endereços antigos desnecessários das suas contas de hotéis e viagens, encerre contas de fidelidade que não usa mais e mantenha seus e-mails pessoal e profissional separados sempre que possível. Usar um endereço de e-mail separado para mensagens promocionais e de reservas de marcas de viagens pode facilitar a identificação de mensagens arriscadas.

Do ponto de vista das empresas, este incidente mostra que dados de hóspedes não são apenas dados de marketing. Serviços de nuvem, acessos de desenvolvedores, chaves de acesso temporárias e contas de serviços externos devem passar por auditorias rigorosas; o princípio do menor privilégio, a autenticação multifator e a avaliação rápida de vazamentos devem se tornar práticas padrão. Quando dados de hóspedes são expostos, o processo de notificação não deve ser adiado, e é preciso indicar claramente quais áreas foram afetadas e quais não foram. A minimização de dados e a notificação em tempo hábil são tão importantes quanto as medidas técnicas para preservar a confiança.

Se você encontrar uma correspondência com a MGM Resorts no LeakData, considere que ela se refere a um vazamento de dados de hóspedes de hotéis e cassinos ocorrido em 2019. A correspondência indica que seu endereço de e-mail, nome completo, número de telefone, endereço físico e data de nascimento podem ter sido incluídos neste registro. Isso não significa que sua senha ou os dados do seu cartão de pagamento tenham sido expostos. As principais medidas são verificar as mensagens recebidas sobre viagens e reservas, proteger sua conta de e-mail e revisar as informações da sua conta de fidelidade.

Se você receber uma mensagem suspeita sobre reserva, reembolso, uso de pontos, upgrade de quarto ou verificação de pagamento, confirme as informações pelo site oficial ou pela central de atendimento, sem clicar no link. Mensagens personalizadas com informações como data de nascimento e endereço também podem ser falsas. Se você se cadastrou com um e-mail de trabalho, informe a equipe de segurança da empresa e tenha cuidado com mensagens de phishing sobre viagens recebidas nessa conta. A lição para as organizações também é clara: dados pessoais usados em contas de viagens e fidelidade de funcionários podem ser um ponto de entrada para ataques direcionados por e-mail.