Vazamento de dados de MSI

Embora os tipos de dados incluídos neste registro não contenham uma senha, eles aumentam o risco de phishing e fraude. O endereço de e-mail permite que um invasor entre em contato com o usuário; o nome, o sobrenome e o número de telefone ajudam a dar à mensagem uma aparência personalizada. O endereço físico pode ser usado em notificações enganosas sobre entregas e processos de atendimento. Os detalhes das solicitações de garantia constituem o contexto comercial mais sensível do incidente. Um invasor que sabe para qual produto de hardware o usuário solicitou atendimento pode entrar em contato usando assuntos que parecem muito reais, como placa de vídeo, placa-mãe, notebook, substituição de peças, etiqueta de envio ou status do reparo. Esses dados, por si só, não dão acesso a uma conta bancária. No entanto, quando se combinam a pessoa certa, o produto certo e o contexto correto de suporte, aumenta a probabilidade de induzir o usuário a acessar uma página de pagamento falsa, baixar um arquivo malicioso ou compartilhar informações da conta. O número de telefone também oferece um canal adicional de contato, por chamada de voz ou mensagem de texto. Por isso, quem tiver dados correspondentes ao registro da MSI deve redobrar a atenção às mensagens, especialmente às relacionadas a garantia, devoluções, trocas, envio, faturas e suporte técnico. Embora o risco de quebra de senha seja baixo, já que a senha não foi vazada, podem ser observadas tentativas direcionadas a outros serviços que usam o mesmo endereço de e-mail.

O número de contas verificadas deve ser registrado como 249.990. A data do incidente foi confirmada como 7 de julho de 2024, e a data de inclusão nos sistemas de registro, como 17 de janeiro de 2025. O escopo abrange registros de clientes associados a solicitações de RMA e garantia da MSI. Este registro não implica que tenham sido vazados senhas de contas da MSI, números de seguridade social, informações de carteiras de habilitação ou dados de cartões de pagamento. Em declarações atribuídas à MSI, foi alegado que o incidente não envolveu tipos de números de identificação de maior sensibilidade que afetariam o critério para exigir uma notificação, e que não há evidências de acesso. Ainda assim, os registros de clientes que ficaram sujeitos ao acesso público apresentam riscos concretos, sobretudo pelas informações de contato e endereço utilizadas nos processos de garantia. Embora algumas notícias indiquem um número maior de registros de garantia, a quantidade de e-mails únicos verificados é de 249.990; esse número deve servir de referência para a busca de usuários e a correspondência de contas. Os campos de dados também devem se limitar a endereços de e-mail, nomes, números de telefone, endereços físicos e solicitações de garantia. Campos cujas informações sobre a compra do produto ou os detalhes do atendimento sejam incertas não devem ser adicionados ao registro público; somente o escopo verificável deve ser apresentado ao usuário. Essa abordagem reduz tanto o risco de afirmações exageradas quanto o de minimizar o risco real.

O grupo de maior risco é formado por clientes que, antes de 2024 ou por volta desse período, fizeram uma solicitação de RMA, garantia, reparo, substituição ou atendimento para produtos da MSI. Essas pessoas podem ser alvo de mensagens que parecem reais por mencionar o modelo do produto e o processo de atendimento. O segundo grupo de risco inclui pessoas que usam o mesmo endereço de e-mail em contas de trabalho, jogos, compras ou serviços financeiros. Mesmo sem a confirmação de um vazamento de senhas, os invasores podem combinar o endereço de e-mail com outros dados para tornar as tentativas de recuperação de conta ou phishing mais convincentes. O terceiro grupo de risco é composto por usuários cujo endereço físico e número de telefone não mudaram; essas pessoas podem receber chamadas ou mensagens SMS sob o pretexto de entrega de encomendas, renovação de garantia, substituição de dispositivos ou taxas de atendimento. Entusiastas de hardware, jogadores, pessoas que montam computadores e pequenas empresas também devem ter cuidado, pois informações de garantia de produtos de hardware caros podem ser usadas em golpes que envolvam substituição por peças falsificadas ou pedidos de pagamentos adicionais. Para quem abre solicitações de atendimento com um e-mail corporativo, o risco também pode se estender ao ambiente de trabalho. Por isso, toda mensagem de suporte deve passar por uma verificação adicional, mesmo que pareça confiável por se referir a uma solicitação de atendimento feita anteriormente.

Se seus dados corresponderem a este registro, primeiro confira as solicitações de garantia e atendimento feitas à MSI nos últimos anos e tenha cuidado com e-mails, chamadas ou mensagens de texto inesperados relacionados a elas. Ao receber mensagens que peçam pagamentos, etiquetas de envio, substituição de dispositivos ou documentos adicionais para o processo de garantia, é preferível entrar na conta pelo site oficial em uma aba separada antes de clicar em qualquer link. Não abra links encurtados, arquivos anexos ou documentos com macros recebidos por e-mail. Mesmo que a pessoa ao telefone forneça detalhes corretos, como modelo do produto, endereço ou número de atendimento, não compartilhe informações de pagamento ou identificação; retome o contato pelo canal oficial de suporte. Tenha cuidado também com mensagens que se passam por empresas de entrega, pois informações de endereço e telefone podem ter sido vazadas. Use uma senha forte e exclusiva na conta de e-mail e ative a verificação em duas etapas. Mesmo que a senha não seja um campo de dados verificado neste caso, a segurança da conta de e-mail limita as etapas posteriores de um ataque que possa começar com mensagens falsas de suporte. Confira o histórico de pedidos, os endereços cadastrados e o histórico de sessões nas contas de sites de compras e lojas de hardware criadas com o mesmo endereço de e-mail. Remova das contas endereços e números de telefone antigos que não sejam mais necessários.

O incidente da MSI mostra que registros de suporte técnico e garantia também devem ser considerados dados de clientes de alto valor. No longo prazo, forneça apenas as informações necessárias nas solicitações de atendimento, considere usar um endereço de contato com uso mais controlado em vez do e-mail pessoal e acompanhe as notificações de fabricantes de hardware com uma rotina de segurança específica. Usar um gerenciador de senhas, manter a conta de e-mail bem protegida e manter a autenticação de dois fatores sempre ativada são medidas básicas de proteção. Além disso, excluir endereços antigos cadastrados em contas de compras e serviços, atualizar números de telefone que não são mais usados e deixar em branco campos de perfil desnecessários reduz o risco. Para as empresas, são essenciais o controle de acesso aos registros de RMA, as restrições gerais de indexação, os controles de exportação de registros, as revisões periódicas de permissões e as inspeções de logs. Nos painéis de atendimento ao cliente, apenas pessoas autorizadas devem ter acesso aos dados necessários, registros antigos devem ser excluídos ao fim do prazo de retenção e testes de acesso aberto devem ser realizados regularmente. Para o usuário, o objetivo é dificultar o uso dos dados de atendimento em fraudes futuras. Isso é possível ao reduzir os canais de comunicação, verificar de forma independente as solicitações recebidas e manter nas contas apenas o mínimo necessário de informações pessoais.

Uma correspondência com o registro da MSI indica que o endereço de e-mail em questão constava entre os registros de RMA e garantia em julho de 2024. Ao ver esse resultado, primeiro confirme com a MSI se houve solicitações anteriores de atendimento, devolução, reparo ou garantia. Se houver alguma, examine com atenção especial as novas mensagens relacionadas a ela. Mesmo que a mensagem apresente corretamente o modelo do produto, o endereço ou o número de atendimento, esse detalhe, por si só, não deve ser considerado uma garantia de segurança. É mais seguro acessar a página oficial de suporte digitando o endereço manualmente do que usar um link. Confira as configurações de segurança da sua conta de e-mail, encerre as sessões que não reconhecer e ative a autenticação de dois fatores. Devido ao vazamento de números de telefone, solicitações recebidas por SMS sobre entregas, atendimento ou taxas também devem ser verificadas separadamente. Notificações inesperadas de entrega, pedidos de pagamento no momento da entrega ou ofertas de substituição de dispositivos que possam explorar o vazamento do endereço físico devem ser considerados suspeitos. Neste incidente, como o vazamento de senhas não foi confirmado, o foco está em reduzir os riscos de phishing, falso suporte e fraudes de entrega, e não em trocar a senha. Ainda assim, usar senhas fortes e verificação adicional nas contas importantes associadas ao mesmo endereço de e-mail limita o impacto de tentativas de ataque posteriores.