Vazamento de dados do MyPertamina em 2022

Os principais tipos de dados no registro do MyPertamina são datas de nascimento, endereços de e-mail, informações de gênero, nomes, números de telefone, endereços físicos e registros de compras. O campo de senha não está entre as categorias de dados verificadas neste registro; portanto, o incidente não deve ser apresentado como um comprometimento direto de senhas. Ainda assim, o risco não diminui; apenas muda de natureza. Quando e-mail, telefone, nome, endereço e data de nascimento são combinados, um invasor pode tornar mais convincentes as tentativas de phishing direcionado, as ligações de falso suporte, as fraudes com temas de entrega ou pagamento e as tentativas de contornar perguntas de autenticação.

Os dados de compras também trazem riscos relacionados ao comportamento. Hábitos de consumo de combustível ou de uso de serviços podem fornecer pistas indiretas sobre os padrões de localização do usuário, o uso do veículo e os momentos em que faz pagamentos. Em conjunto com o endereço físico e o número de telefone, essas informações podem servir de base não apenas para problemas com contas digitais, mas também para assédio no mundo real, ligações de campanhas fraudulentas e situações de engenharia social. Por isso, o vazamento do MyPertamina deve ser considerado um registro crítico, que contém uma combinação poderosa de dados para traçar perfis pessoais, mesmo sem incluir senhas.

Contagens de pessoas, campos de dados e alegações de agentes de ameaça que não tenham sido verificados não são tratados como parte do escopo público do incidente. Segundo os relatos, os dados brutos teriam mais de 44 milhões de linhas; porém, a contagem de linhas brutas não equivale ao número de pessoas únicas. Históricos de transações, registros duplicados, várias linhas pertencentes ao mesmo usuário ou diferentes tabelas na exportação dos dados podem aumentar o volume de linhas brutas.

A data do incidente deve ser registrada como novembro de 2022, e a data de inclusão no sistema deve permanecer como janeiro de 2024. Se a data da atualização técnica anterior ou o momento da importação em massa for exibido como a data do vazamento, os usuários podem pensar que ele ocorreu em 2025 ou 2026. Essa confusão foi resolvida neste registro: a data do vazamento é 1 de novembro de 2022, a data verificada de inclusão no índice é 27 de janeiro de 2024, e o número de e-mails únicos afetados é considerado como 5.970.416. O contexto da empresa também deve ser atualizado para indicar a Indonésia e o serviço de energia e pagamento de combustível.

O primeiro grupo de risco é formado por pessoas que criaram uma conta no MyPertamina e usaram seus dados de e-mail e telefone para pagamentos de combustível ou transações de fidelidade. Quando o nome, o número de telefone, o endereço e o contexto das compras dessas pessoas aparecem juntos, falsas ligações de atendimento ao cliente podem se tornar mais convincentes. O invasor pode induzir o usuário a clicar em um link ou fornecer informações pessoais adicionais por meio de mensagens sobre subsídios a combustíveis, verificação de pagamentos, pontos de recompensa, campanhas ou renovação da conta.

O segundo grupo de risco é formado por pessoas que usam o mesmo número de telefone em serviços bancários, carteiras digitais, entregas e serviços públicos. O número de telefone e a data de nascimento podem ser usados como informações auxiliares que facilitam conversas de verificação de identidade em alguns serviços. O terceiro grupo de risco é formado por funcionários que criam uma conta pessoal no MyPertamina com seu endereço de e-mail corporativo. Essa associação não significa acesso direto ao sistema da empresa; porém, se o nome real, o número de telefone ou o contexto do endereço do funcionário forem usados em mensagens de phishing direcionado, o risco de segurança aumenta.

Os usuários que constam nos cadastros do MyPertamina devem, antes de tudo, analisar com atenção as mensagens recebidas por e-mail e telefone sobre combustível, pagamentos, pontos de recompensa, subsídios ou verificação de conta. Em vez de acessar a conta pelo link da mensagem, devem dar preferência ao endereço oficial conhecido ou ao aplicativo móvel do serviço. Números de identificação pessoal, datas de nascimento, endereços, códigos de uso único ou informações de pagamento não devem ser compartilhados em ligações recebidas. Equipes legítimas de atendimento ao cliente não devem solicitar códigos de segurança.

Mesmo sem confirmação de que a senha tenha vazado, devem ser adotadas medidas robustas de segurança nas contas críticas que usam o mesmo endereço de e-mail. A autenticação multifator deve ser ativada em contas de e-mail, carteiras digitais, serviços bancários, entregas e serviços públicos; os números de telefone e endereços de e-mail de recuperação devem ser conferidos. O usuário deve encerrar sessões suspeitas, remover dispositivos que não reconhece e excluir informações antigas de endereço ou telefone dos serviços. A data de nascimento e o endereço devem agora ser considerados dados fáceis de adivinhar e não devem ser usados em senhas ou PINs.

O vazamento do MyPertamina mostra que dados pessoais além da senha também têm implicações de segurança a longo prazo. Os usuários devem criar o hábito de fornecer o mínimo de dados em cada serviço. Campos desnecessários, como número de telefone, endereço ou data de nascimento, devem ser deixados em branco; sempre que possível, devem ser usados mascaramento de e-mail, endereços de contato separados e preferências de notificação específicas para cada serviço. Depois que os dados pessoais entram em circulação, não é possível retirá-los completamente; por isso, a principal defesa é impedir que os mesmos dados sejam usados como uma única chave de segurança em contas diferentes.

O histórico de compras e os campos de telefone e endereço não têm apenas valor de marketing; quando obtidos de forma indevida, tornam-se um perfil sensível que alimenta fraudes direcionadas. As empresas não devem coletar campos desnecessários, devem excluir registros antigos regularmente, treinar as equipes de atendimento ao cliente para lidar com tentativas de engenharia social e monitorar prontamente acessos suspeitos aos dados.

Como o registro não contém senha, a primeira medida não deve se limitar à troca da senha. É necessário redobrar a cautela diante de possíveis ligações, mensagens e campanhas falsas que possam se valer de números de telefone, endereços, datas de nascimento e informações de compras.

A ordem correta é primeiro reforçar a segurança do e-mail e do telefone e, depois, conferir as configurações de recuperação de conta em carteiras digitais, serviços bancários, entregas e serviços públicos. O usuário deve analisar acessos que não reconhece nos serviços que usam o mesmo endereço de e-mail do MyPertamina e remover informações pessoais desatualizadas de contas desnecessárias. Quem usa e-mail corporativo deve compartilhar esse resultado com a equipe de segurança; a empresa deve implementar monitoramento de domínio, alertas de acesso de risco e verificações de conscientização dos funcionários.