Vazamento de dados de MyHeritage
O vazamento de dados da MyHeritage é um incidente de grande escala envolvendo dados de contas, datado de 26 de outubro de 2017 e relacionado ao serviço de genealogia e história familiar.
Tipos de dados expostos
2- Endereços de e-mail
- Senhas
Sobre este vazamento
O escopo verificado se limita a 91.991.358 contas únicas. O conjunto de dados contém endereços de e-mail e senhas; o campo de senha não deve ser interpretado como texto simples, mas como hashes de senhas gerados com SHA-1 e salt.
O principal risco no incidente da MyHeritage é a presença do endereço de e-mail e do hash da senha nos dados de uma mesma conta. Um hash de senha não permite um uso tão direto quanto uma senha em texto simples; ainda assim, pode abrir caminho para tentativas de tomada de controle de contas quando as senhas são fracas, curtas, previsíveis ou reutilizadas em outros serviços. O contexto de genealogia e história familiar também pode tornar mais convincentes as mensagens de phishing com temas como falsas correspondências com parentes, avisos sobre contas antigas ou notificações de segurança.
Tipos de dados vazados e riscos
As categorias de dados verificadas no conjunto de dados da MyHeritage são endereços de e-mail e senhas. O campo de senha contém hashes de senhas gerados com SHA-1 e salt. Os endereços de e-mail podem ser usados para phishing direcionado, associação de contas, alertas sobre contas antigas e golpes de redefinição de senha. Já os hashes de senhas representam riscos adicionais, especialmente quando as senhas são fracas ou reutilizadas.
Neste incidente, senhas em texto simples, cartões de pagamento, números de telefone, endereços físicos, documentos de identidade, perfis de DNA ou conteúdo de árvores genealógicas não devem ser considerados dados cujo vazamento foi confirmado. Ainda assim, quando os campos de e-mail e senha aparecem juntos, invasores podem tentar usar a mesma combinação em contas de e-mail, redes sociais, armazenamento em nuvem, compras, história familiar e trabalho.
Escopo verificado e limites
A data do vazamento da MyHeritage deve ser mantida como 26 de outubro de 2017, a data de inclusão do registro como 20 de fevereiro de 2019 e o número de contas afetadas como 91.991.358. O comunicado da empresa explica que o arquivo continha os endereços de e-mail e os hashes das senhas de usuários que haviam criado uma conta na MyHeritage; o arquivo foi encontrado em um servidor privado fora da empresa.
Ao explicar o escopo, não se deve apresentar o vazamento de árvores genealógicas, dados de DNA, informações de pagamento, cartões de crédito, documentos de identificação, números de telefone ou endereços físicos como confirmado. A empresa informou que as informações de pagamento são armazenadas por provedores de pagamento terceirizados e que os dados de árvores genealógicas e DNA são mantidos em sistemas separados, sem evidências de acesso não autorizado a esses sistemas. Portanto, o registro da MyHeritage deve ser entendido não como um vazamento de dados genealógicos sensíveis, mas como um risco envolvendo um grande volume de identificadores de contas e a reutilização de senhas.
Grupos de usuários em risco
O principal grupo em risco é formado por usuários que criaram uma conta na MyHeritage em 26 de outubro de 2017 ou antes dessa data. Pessoas que usam a mesma senha na conta de e-mail, em redes sociais, no armazenamento em nuvem, em sites de compras, em serviços de genealogia ou na conta de trabalho correm um risco maior. Mesmo que as contas antigas tenham sido esquecidas, o risco continua se a mesma senha ainda for válida em outros serviços.
Usuários mais suscetíveis a mensagens sobre árvores genealógicas, história familiar ou resultados de DNA também devem ter cuidado com o phishing direcionado. Quando invasores sabem que existe uma conta real na MyHeritage, podem entrar em contato com o usuário sob o pretexto de vínculos familiares, alertas de segurança, assinaturas antigas, arquivos de fotos ou correspondências com parentes. Para quem usa e-mail corporativo, o risco também pode se estender a tentativas de acesso à conta de trabalho usando a senha.
Medidas urgentes a tomar
Usuários cujo endereço de e-mail foi encontrado no conjunto de dados da MyHeritage devem alterar a senha da conta na MyHeritage e de todas as contas em que a mesma senha é usada. A prioridade deve ser dada às contas de e-mail, redes sociais, armazenamento em nuvem, compras, pagamentos, história familiar e trabalho. As novas senhas devem ser longas, únicas e escolhidas entre as opções armazenadas em um gerenciador de senhas.
A autenticação de dois fatores deve ser ativada em todas as contas principais, as sessões ativas e os dispositivos conectados devem ser verificados, e as sessões não reconhecidas devem ser encerradas. Ao receber mensagens sobre árvores genealógicas, resultados de DNA, correspondências com parentes ou a segurança de contas antigas, antes de clicar em qualquer link, você deve acessar a conta pelo endereço web conhecido do serviço ou pelo aplicativo oficial. Códigos de uso único, senhas de contas e links de recuperação não devem ser compartilhados em nenhuma conversa com o suporte.
Estratégias de segurança de longo prazo
No longo prazo, uma senha única para cada serviço, um gerenciador de senhas e a autenticação de dois fatores são a base da proteção. Manter a mesma combinação de e-mail e senha por anos em serviços com forte contexto pessoal, como os de história familiar e arquivos de fotos, facilita o uso de dados de vazamentos antigos em tentativas de acesso a novas contas. Você pode considerar o uso de um endereço de e-mail separado ou de um alias para contas críticas.
Os usuários devem revisar regularmente as contas antigas de serviços de história familiar, encerrar as que não são mais necessárias e manter os e-mails de recuperação e as notificações de segurança atualizados. Quando um endereço de e-mail e um hash de senha são expostos, o risco não se limita a um único site; é necessário eliminar a reutilização de senhas e manter a atenção a mensagens de phishing direcionado no longo prazo.
Consulta ao registro e ações do usuário
A consulta no LeakData mostra se o endereço de e-mail pesquisado está presente no conjunto de dados da MyHeritage. Um resultado positivo indica que o endereço de e-mail está nesse conjunto de dados e que os campos de dados verificados devem ser incluídos na avaliação de risco. Esse resultado não comprova que informações de DNA, árvores genealógicas, cartões de pagamento ou documentos de identidade tenham sido expostas; as medidas de proteção devem ser planejadas com foco nos riscos relacionados ao e-mail e à senha.
Um resultado negativo significa apenas que nenhuma correspondência foi encontrada no conjunto de dados da MyHeritage; isso não elimina a possibilidade de o endereço estar presente em outros vazamentos de dados. Usuários que recebem um resultado positivo devem redefinir a senha, ativar a autenticação de dois fatores, revisar as sessões antigas e verificar, por um canal separado, as mensagens de segurança com temas de genealogia ou história familiar.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
