Vazamento de dados do Minehut em 2019

Neste incidente, as categorias de dados verificadas são endereços de e-mail e senhas. A identificação do campo de senha como um hash bcrypt indica um método de armazenamento mais protegido do que o uso de senhas em texto simples; isso, porém, não elimina completamente o risco para o usuário. Senhas curtas, previsíveis ou reutilizadas em outros serviços podem acabar sendo descobertas ou usadas em ataques de adivinhação de senhas. A presença de hashes de senha junto com endereços de e-mail permite que um invasor mire outras contas de jogos, fóruns, redes sociais e e-mail associadas ao mesmo endereço.

Como as contas do Minehut são usadas para hospedar servidores de Minecraft, gerenciar comunidades de jogadores e manter contato com amigos dentro do jogo, o vazamento não se resume a uma conta antiga em um site. Proprietários de servidores e jogadores ativos podem ter usado o mesmo endereço de e-mail em outros serviços de Minecraft, comunidades do Discord ou fóruns. O endereço de e-mail, por si só, pode ser suficiente para ataques de phishing; a presença do campo de senha também pode permitir que o invasor teste padrões de senhas usados anteriormente. Por isso, a principal prioridade para os usuários é verificar se a mesma senha foi reutilizada em outros serviços.

A data verificada do incidente é 17 de maio de 2019, a data de inclusão do registro é 17 de setembro de 2019 e a data de alteração da fonte é 17 de novembro de 2019. O número de endereços de e-mail únicos afetados é 396.533. As categorias de dados se limitam a endereços de e-mail e senhas. O campo de senha deve ser entendido como hashes bcrypt. Neste registro, nomes de usuário, endereços IP, datas de nascimento, endereços físicos, informações de pagamento, licenças do jogo Minecraft, arquivos de servidores e conteúdo de mensagens privadas não estão entre as categorias de dados verificadas.

É importante delimitar o escopo dessa forma. A presença de um usuário no registro do Minehut não comprova que sua conta do Minecraft ou da Microsoft tenha sido diretamente comprometida. Também não se deve afirmar que todas as senhas foram expostas em texto simples. O risco decorre da possibilidade de que os endereços de e-mail e hashes de senha presentes no backup comprometido sejam usados em tentativas de acesso a outras contas. A medida de segurança adequada é adotar senhas exclusivas no Minehut e nas outras contas que usam o mesmo padrão de senha, ativar a autenticação multifator e analisar notificações de acessos suspeitos.

O grupo de maior risco inclui pessoas que criaram um servidor no Minehut, gerenciaram um ambiente de jogo para grupos de amigos ou usaram o mesmo endereço de e-mail em outros serviços de Minecraft. Proprietários de servidores, moderadores e administradores de comunidades podem ser mais suscetíveis a mensagens direcionadas, pois invasores podem tentar induzir o usuário a agir sob o pretexto de uma conta antiga do Minehut, renovação de servidor, acesso ao painel ou recuperação de arquivos. Associar o endereço de e-mail a comunidades de jogos aumenta o risco de vincular os nomes de usuário e as contas de uma pessoa em diferentes plataformas.

O segundo grupo de risco é formado por usuários que reutilizam senhas. Se a senha usada na conta do Minehut também for válida em outros serviços, como contas de e-mail, plataformas de jogos, fóruns, redes sociais ou painéis de gerenciamento de servidores, um invasor poderá tentar ampliar seu acesso a partir de um único vazamento antigo. Usuários que criaram uma conta quando eram jovens e mantiveram o mesmo padrão de senha por anos devem ter cuidado nesse aspecto. Mesmo que o conjunto de dados não contenha informações cadastrais, de pagamento ou de identidade, a combinação de e-mail e senha é relevante o bastante para a segurança da conta.

Se você encontrar uma correspondência neste registro, deve considerar que a senha que talvez tenha usado na conta do Minehut já não é confiável. Se usar a mesma senha ou uma semelhante em outros serviços, escolha uma senha exclusiva para cada conta. Verifique primeiro as contas de e-mail, plataformas de jogos, comunidades de Minecraft, contas do Discord e de serviços semelhantes de comunicação, além dos serviços que envolvem pagamentos. Ative a autenticação de dois fatores em todas as contas que ofereçam esse recurso, encerre as sessões ativas e mantenha o e-mail e o número de telefone de recuperação atualizados.

Tenha cuidado com links em mensagens sobre o Minehut ou servidores de Minecraft. Mensagens que aparentem tratar de painéis de servidores, melhorias gratuitas, recuperação de arquivos, verificação de contas ou alertas de segurança podem ser falsas. Para acessar as páginas de login, digite manualmente o endereço conhecido em vez de usar um link recebido por e-mail. Se você já usou a mesma senha na conta de e-mail, priorize a segurança dessa conta, pois ela é o canal de recuperação das outras contas. Caso perceba um acesso suspeito, uma redefinição de senha inesperada ou uma notificação de dispositivo desconhecido, encerre as sessões correspondentes.

No longo prazo, usar senhas exclusivas para contas de jogos, fóruns e gerenciamento de servidores é a defesa mais básica. Um gerenciador de senhas facilita a criação de senhas diferentes e fortes para cada serviço. As comunidades de Minecraft deixam rastros digitais duradouros por contarem com usuários jovens e apelidos usados por muitos anos; por isso, a segurança de contas antigas de jogos não deve ser subestimada. Revise suas contas no Minehut ou em serviços semelhantes que você não usa mais, reduza os dados pessoais nelas e encerre as sessões desnecessárias.

Quem gerencia servidores precisa ter cuidado redobrado. O painel do servidor, as contas de plugins, as contas de administradores de comunidades e os endereços de e-mail vinculados devem ser protegidos com senhas distintas. Um vazamento anterior em um site pode resultar em acesso indevido às permissões de gerenciamento de servidores se a mesma senha tiver sido reutilizada. Evitar respostas previsíveis para perguntas de segurança, manter a autenticação multifator sempre ativada e proteger a conta de e-mail como ponto central de segurança reduz o risco no longo prazo. O registro do Minehut mostra que até serviços de jogos que parecem pequenos podem ter um impacto real na segurança da conta.

Uma correspondência neste registro indica que o endereço de e-mail está entre os endereços verificados no conjunto de dados do Minehut. Essa correspondência não comprova que a licença do jogo Minecraft, as informações de pagamento, a data de nascimento ou as mensagens privadas do usuário estejam nesse conjunto de dados. Os campos verificados são endereços de e-mail e hashes de senha bcrypt. Ao compreender corretamente essa limitação, você deve priorizar o fim da reutilização de senhas e o reforço da segurança da conta de e-mail.

O primeiro passo é identificar as contas que usam o mesmo e-mail e padrões de senha semelhantes. Em seguida, adote senhas exclusivas para a conta de e-mail, as plataformas de jogos, as contas de gerenciamento de servidores e as contas em comunidades sociais. Ative a autenticação de dois fatores, verifique as sessões ativas e confirme mensagens suspeitas por um canal separado. Este registro apresenta os campos de dados verificados sem exageros; o objetivo é indicar ações que você possa tomar especificamente para a segurança da conta, o gerenciamento de senhas e as contas em comunidades de jogos no contexto do vazamento do Minehut.