Vazamento de dados da MoDaCo em 2016

Neste incidente, as categorias de dados verificadas são endereços de e-mail, endereços IP, senhas e nomes de usuário. Quando um e-mail e um nome de usuário aparecem juntos, aumenta o risco de associar a pessoa a diferentes fóruns Android, comunidades de desenvolvimento para dispositivos ou contas em redes sociais. Os endereços IP podem fornecer informações limitadas sobre a localização aproximada das conexões e o contexto de sessões anteriores. Como o campo de senha é descrito como contendo hashes MD5 com salt, não há comprovação de senhas em texto simples; ainda assim, hashes baseados em MD5 podem aumentar o risco de quebra de senhas para quem não usa senhas fortes.

É comum usar o mesmo nome de usuário por anos em comunidades de fóruns. Por isso, o registro da MoDaCo não deve ser visto apenas como uma conta antiga de fórum. Se você usou o mesmo e-mail e padrão de senha em fóruns de desenvolvedores Android, contas de e-mail, redes sociais ou sites de compras, invasores podem tentar usar essas informações em outros serviços. Para entusiastas de tecnologia móvel, contas antigas de fóruns também podem ser associadas a informações indiretas do perfil, como modelo do dispositivo, preferência de ROM ou identidade de desenvolvedor. Essa combinação pode tornar mensagens direcionadas mais convincentes.

A data verificada do incidente é informada como aproximadamente janeiro de 2016, e o sistema registra 1 de janeiro de 2016 como referência dentro daquele ano. O registro foi adicionado e a fonte foi modificada em 20 de setembro de 2016. O número total de contas verificadas é 879.703. As categorias de dados se limitam a endereços de e-mail, endereços IP, nomes de usuário e hashes MD5 de senhas com salt. Neste registro, não foi verificada a presença de números de telefone, endereços físicos, cartões de pagamento, datas de nascimento, nomes reais ou conteúdo de mensagens privadas.

Entender corretamente o escopo permite que você tome medidas práticas de segurança, em vez de entrar em pânico sem necessidade. Uma correspondência positiva não comprova que seu dispositivo Android, sua conta de desenvolvedor ou suas informações de pagamento tenham sido comprometidos. O incidente está relacionado aos dados de inscrição e de contas do fórum MoDaCo. No entanto, se a senha usada na conta do fórum também for usada em outros serviços, o risco aumenta. A medida adequada é deixar de usar o mesmo padrão de senha, reforçar a segurança da conta de e-mail e revisar como sua antiga identidade no fórum está vinculada a outras contas.

O grupo de maior risco inclui pessoas que criaram uma conta no fórum MoDaCo e mantêm o mesmo nome de usuário em comunidades de desenvolvimento para dispositivos Android ou de tecnologia móvel. Desenvolvedores, entusiastas de ROM, usuários ativos em comunidades de modificação de dispositivos e pessoas que usam o mesmo endereço de e-mail em diferentes fóruns correm maior risco de associação entre perfis. Informações de endereço IP e nome de usuário, quando combinadas com atividades anteriores no fórum, podem fornecer pistas indiretas sobre os interesses técnicos de uma pessoa.

Quem reutiliza senhas corre um risco adicional. Hashes MD5 com salt ainda podem ser fracos, especialmente no caso de senhas curtas e previsíveis. Se a mesma senha tiver sido usada em uma conta de e-mail, rede social, ferramenta de desenvolvimento ou conta de compras, um vazamento antigo de fórum pode afetar contas atuais. Mensagens falsas sobre Android ou tecnologia móvel podem parecer mais confiáveis quando incluem informações de uma antiga participação no fórum e nomes de usuário. Por isso, se houver uma correspondência positiva para você, avalie tanto a segurança das senhas quanto a associação da sua identidade no fórum com outras contas.

Se suas credenciais forem encontradas neste registro, você não deve mais considerar segura a senha usada na sua conta MoDaCo. Se você usa a mesma senha, ou uma semelhante, em outras contas, escolha uma senha exclusiva para cada serviço. A prioridade deve ser dada às contas de e-mail, contas de desenvolvedor, redes sociais, fóruns e serviços que envolvem pagamentos. Ative a autenticação multifator nas contas que oferecem esse recurso, encerre as sessões ativas e confira os dados de e-mail ou telefone usados para recuperação. Fazer apenas pequenas alterações em uma senha antiga não é suficiente.

Tenha cautela com mensagens no fórum Android sobre atualizações de dispositivos, arquivos de ROM personalizadas, contas de desenvolvedor ou segurança da conta. Mensagens que contêm um nome de usuário verdadeiro ou um endereço de e-mail antigo não devem ser consideradas confiáveis. Links para download de arquivos, páginas falsas de login e solicitações de verificação de conta devem ser conferidos por um canal separado. Como também há informações de endereços IP disponíveis, alertas inesperados de login de outras regiões ou sessões de dispositivos desconhecidos nas contas devem ser examinados separadamente.

No longo prazo, usar um endereço de e-mail separado e uma senha exclusiva para contas de fóruns e comunidades técnicas oferece uma boa proteção. Usar o mesmo nome de usuário em todas as plataformas pode ser conveniente, mas aumenta o risco de associação entre perfis. Revise periodicamente suas contas antigas em fóruns Android, perfis de desenvolvedor e participações em comunidades. Reduzir os dados pessoais em contas que você não usa ou encerrá-las diminui o impacto do risco.

Usar um gerenciador de senhas facilita a criação de senhas fortes para cada conta em fóruns e serviços técnicos. Ative a autenticação multifator nas contas de e-mail e mantenha os canais de recuperação atualizados. Comunidades de tecnologia móvel também exigem cuidado extra com downloads de arquivos e links de login; por isso, desconfie de ROMs, ferramentas ou arquivos de verificação de conta provenientes de links desconhecidos. Vazamentos antigos de fóruns podem ser usados em tentativas de reutilizar senhas e em mensagens direcionadas mesmo anos depois.

Uma correspondência neste registro indica que o endereço de e-mail ou a conta associada está entre as contas verificadas no conjunto de dados da MoDaCo. A correspondência não comprova que números de telefone, endereços físicos, informações de pagamento ou conteúdo de mensagens privadas estejam presentes nesse conjunto de dados. Os campos verificados são endereços de e-mail, endereços IP, nomes de usuário e hashes MD5 de senhas com salt. Entenda corretamente essa limitação, deixe de reutilizar senhas e revise sua antiga identidade no fórum.

O primeiro passo é identificar as contas em que você usou o mesmo e-mail e padrões de senha semelhantes. Em seguida, adote senhas exclusivas para a conta de e-mail, os fóruns Android, as contas de desenvolvedor e os perfis em redes sociais; ative a autenticação multifator e confira as sessões ativas. Verifique por um canal separado as mensagens da comunidade Android sobre atualizações de dispositivos ou segurança da conta. Este registro apresenta os campos de dados verificados sem exageros e oferece medidas práticas para lidar com os riscos relacionados a contas de fóruns, gerenciamento de senhas e associação entre perfis.