Vazamento de dados de MyFitnessPal

As categorias de dados verificadas são endereços de email, endereços IP, senhas e nomes de usuário. Segundo relatos, os dados de senhas estão associados a valores de hash, com uso de SHA-1 em algumas contas e de bcrypt nas contas mais recentes. Essa situação é diferente de um vazamento de senhas em texto puro; ainda assim, o risco permanece para senhas fracas ou reutilizadas. Endereços de email e nomes de usuário podem ser associados a contas em diferentes plataformas. Endereços IP também podem fornecer contexto indireto sobre as regiões de acesso e informações habituais das sessões. Informações de cartões de pagamento, registros diários de alimentação, informações de peso, histórico de exercícios ou dados de documentos oficiais de identificação não estão entre as categorias de dados verificadas neste registro específico; o risco está principalmente associado à tomada de controle de contas e à reutilização de senhas.

O número de contas verificadas no incidente do MyFitnessPal é de 143.606.147. O período principal do vazamento deve ser considerado como fevereiro de 2018, a data verificada de inclusão como fevereiro de 2019 e a data da última atualização da fonte como 21 de fevereiro de 2019. Segundo a própria empresa, as informações afetadas incluem nomes de usuário, endereços de email e senhas armazenadas como hashes; nos registros externos verificados de segurança de contas, também constam endereços IP. Portanto, os campos apresentados ao usuário devem se limitar a endereços de email, endereços IP, senhas e nomes de usuário. O fato de o MyFitnessPal ser um serviço de alimentação e exercícios não significa que dados de diários de saúde também tenham vazado. Acrescentar campos não verificados cria uma falsa percepção de risco para o usuário.

O maior risco é para quem usa o mesmo endereço de email da conta do MyFitnessPal e uma senha semelhante em outros serviços. Se a mesma senha for repetida em aplicativos de atividade física, alimentação e esportes, redes sociais, contas de email e contas de compras, invasores poderão usar essas informações em ataques automatizados de tentativa de acesso. Usuários que não acessam suas contas antigas há anos também estão em risco, pois uma senha esquecida ainda pode ser válida em outro serviço. Para funcionários cadastrados com um email corporativo, as mensagens de phishing podem se tornar mais convincentes. A combinação de endereço IP e nome de usuário pode ser usada para personalizar falsos alertas de login ou mensagens de recuperação de conta.

Se você foi afetado, primeiro deve trocar a senha da sua conta do MyFitnessPal por uma senha forte e exclusiva. Se usa a mesma senha ou uma semelhante em outros serviços, priorize a troca nas contas de email, redes sociais, armazenamento em nuvem, compras, aplicativos de atividade física e contas vinculadas a pagamentos. Gerar uma senha diferente para cada serviço com um gerenciador de senhas reduz o risco de repetição. Ative a verificação em várias etapas nas contas que oferecem esse recurso. Tenha cuidado com mensagens falsas de redefinição de senha, recompensa, assinatura, cobrança ou suspensão de conta enviadas em nome do MyFitnessPal ou de um aplicativo de atividade física. Confira manualmente o endereço antes de clicar no link e não abra arquivos nem formulários suspeitos.

No longo prazo, os aplicativos de atividade física e estilo de vida devem ser protegidos com a mesma atenção dedicada às contas principais de email e às contas financeiras. Cadastrar-se em muitos aplicativos com o mesmo endereço de email faz com que o risco de um único vazamento se espalhe por diferentes serviços. Revise regularmente suas contas antigas, troque as senhas dos serviços que não usa mais ou exclua a conta. Um gerenciador de senhas pode ser usado como ferramenta principal para gerar senhas aleatórias e exclusivas. Em ambientes corporativos, são importantes as regras de segurança que impedem o uso de emails e senhas de trabalho em aplicativos pessoais. Lembre-se de que vazamentos antigos podem voltar a circular anos depois e não reutilize senhas antigas em novas contas.

Quando um resultado do MyFitnessPal aparece no LeakData, isso indica que o endereço de email está incluído no conjunto de dados de contas de atividade física e alimentação de 2018. Esse resultado não comprova que seus diários atuais de saúde ou alimentação tenham sido comprometidos; ele se limita aos campos verificados de identificação de conta e senha associados ao risco. Você deve primeiro verificar sua conta do MyFitnessPal e, em seguida, as senhas usadas no mesmo período e as contas importantes abertas com o mesmo endereço de email. Examine primeiro a conta de email, as redes sociais, as contas de compras e o armazenamento em nuvem. O período principal do incidente é fevereiro de 2018, com data verificada de inclusão em fevereiro de 2019. Essa cronologia evita que a tela de Segurança da conta identifique incorretamente o incidente como um evento atual e apresenta a ordem correta de prioridades para você.