Muslim Match Vazamento de dados

Os tipos de dados confirmados neste registro incluem nome de usuário, endereço de e-mail, endereço IP, localização geográfica, status do usuário, históricos de conversas, mensagens privadas e campos de senha. O endereço de e-mail e o nome de usuário podem ser usados para associar a conta a identidades em outras plataformas. O endereço IP e as informações de localização fornecem contexto adicional para invasores que queiram identificar a região aproximada do usuário ou seus hábitos de acesso. O risco mais sensível está nas mensagens privadas e nos históricos de conversas; esse conteúdo pode conter detalhes íntimos, como a busca por um relacionamento, preferências pessoais, situação familiar e expectativas religiosas ou sociais. A confirmação de que as senhas são armazenadas com MD5 também aumenta o risco de tomada de controle da conta; se a mesma senha tiver sido usada em outras contas, invasores poderão iniciar tentativas de login em contas de e-mail, redes sociais ou trabalho.

A data verificada do incidente deve ser registrada como 24 de junho de 2016, a data de inclusão do registro como 29 de junho de 2016 e o número de contas afetadas como 149.830. Relatos secundários mencionam aproximadamente 150.000 perfis e centenas de milhares de mensagens privadas; esses relatos corroboram o escopo, mas o número principal de contas exibido ao usuário se limita às 149.830 verificadas. As categorias de dados incluem históricos de conversas, endereços de e-mail, geolocalizações, endereços IP, senhas, mensagens privadas, status dos usuários e nomes de usuário. Neste registro, não há confirmação de campos de cartão de pagamento, conta bancária, identificação ou endereço físico, por isso esses campos não estão incluídos. O registro é classificado como um vazamento sensível, pois a presença de um usuário nessa plataforma ou o acesso de terceiros ao conteúdo de suas comunicações privadas pode ter consequências pessoais.

O grupo de maior risco inclui pessoas que têm uma conta no Muslim Match, usam seu nome real ou um nome de usuário reconhecível, mantêm o mesmo endereço de e-mail por muito tempo e reutilizam a senha em outros serviços. Mensagens privadas compartilhadas durante a busca por casamento ou relacionamento podem expor o usuário a pressões da família, do círculo social ou do ambiente de trabalho. Campos como localização, endereço IP e status do usuário podem ajudar um invasor a preparar mensagens de phishing mais personalizadas. Usuários com questões sensíveis no contexto religioso ou cultural podem ser alvo de mensagens sobre falsos encerramentos de conta, exclusão de dados, proteção da reputação ou chantagem. Para quem se cadastra com um e-mail corporativo, o risco também pode se estender à conta de trabalho; se a senha antiga da plataforma for reutilizada em sistemas de trabalho, o impacto na segurança da conta aumenta.

Se uma correspondência com seus dados tiver sido identificada, você deve primeiro alterar a senha antiga usada na conta do Muslim Match e em todas as contas que usam a mesma senha ou uma senha semelhante. As contas prioritárias para verificação são as de e-mail, redes sociais, armazenamento em nuvem, mensagens, compras e trabalho. As novas senhas devem ser únicas, longas e geradas com um gerenciador de senhas. A autenticação de dois fatores deve ser ativada em qualquer conta que ofereça esse recurso. Examine com desconfiança mensagens privadas antigas ou e-mails, mensagens em redes sociais e conteúdos de SMS que mencionem o nome da plataforma. Não responda a mensagens que contenham ameaças, como chantagem, cobranças para excluir dados ou encerrar contas, ou ameaças de compartilhar fotos; não abra links, não baixe anexos e não compartilhe códigos de verificação nem informações de pagamento.

Este incidente mostra que contas usadas em plataformas de relacionamentos e de busca de parceiros apresentam um alto risco à privacidade. Nesses serviços, você deve usar um e-mail separado ou mascarado em vez do endereço principal, escolher uma senha única para cada plataforma e adotar a proteção de dois fatores como padrão sempre que possível. Contas antigas que não são mais usadas devem ser encerradas ou, no mínimo, ter suas senhas alteradas. Quando nomes de usuário, e-mails e informações de perfil são repetidos exatamente da mesma forma em diferentes serviços, fica mais fácil associar os perfis entre si; em contas que exigem maior privacidade, essas informações devem ser diferentes. Ao identificar e-mails de funcionários em vazamentos sensíveis como este, as instituições devem estabelecer um processo de segurança baseado em apoio, e não em punição, e incluir os riscos de extorsão e phishing direcionado no plano de resposta a incidentes.

Uma correspondência com o Muslim Match neste registro indica que o endereço de e-mail relacionado pode estar incluído nos dados sensíveis da plataforma de relacionamentos de 2016. A correspondência não prova que informações de cartão de pagamento ou de identificação tenham sido expostas; o principal risco é que mensagens privadas, históricos de conversas, endereços IP, informações de localização e hashes de senhas possam ser usados em conjunto em tentativas de assédio direcionado ou de tomada de controle de contas. Você deve listar as contas críticas associadas ao mesmo endereço de e-mail, deixar de usar senhas antigas e reutilizadas, ampliar o uso da autenticação de dois fatores e ter cautela diante de ameaças que façam referência a mensagens privadas. Para as instituições, a ação recomendada é tratar este registro como de alto risco à privacidade devido ao seu conteúdo sensível de 2016 e examinar a reutilização de senhas em uma verificação de segurança separada.