Vazamento de dados do MySpace em 2008

As categorias de dados verificadas são endereços de e-mail, senhas e nomes de usuário. Enquanto o endereço de e-mail, por si só, pode ser usado para selecionar alvos em larga escala, o nome de usuário pode ajudar a associar vestígios do perfil antigo de uma pessoa em diferentes plataformas. Segundo relatos, o campo de senha era armazenado em um formato antigo baseado em SHA-1, sem salt e limitado aos primeiros 10 caracteres. Esse modelo de armazenamento é frágil pelos padrões atuais e aumenta especialmente o risco de quebra de senhas curtas, baseadas em palavras de dicionário ou reutilizadas de outras contas.

O impacto desse conjunto de dados não se limita à possibilidade de acesso a uma conta do MySpace. A maioria dos usuários pode ter reutilizado senhas antigas ao longo dos anos em contas de e-mail, fóruns, jogos, compras ou redes sociais. Invasores podem testar os mesmos pares de e-mail e senha em diferentes serviços para tentar entrar nas contas. As informações de nome de usuário também podem ajudar a encontrar a identidade on-line que o alvo usava no passado, elaborar mensagens falsas de suporte ou transmitir credibilidade por meio de links de perfis antigos.

A data do vazamento está registrada no sistema como 1 de julho de 2008. O conjunto de dados foi colocado à venda em maio de 2016 e adicionado a sistemas de consulta verificados no mesmo período. A data registrada de inclusão verificada e de última alteração é 31 de maio de 2016. O número de contas afetadas é considerado como 359.420.698. Diferentes relatos podem apresentar contagens brutas de senhas mais altas, pois algumas contas poderiam ter vários campos de senha, e a avaliação foi de que a contagem de registros não equivale à contagem de senhas.

A notificação oficial aos usuários informou que não são coletados dados de cartão de crédito nem informações financeiras e que esses dados financeiros não estão envolvidos no incidente. Portanto, o caso não deve ser apresentado como um vazamento de dados de cartões de pagamento ou de dados bancários. Informações de saúde, conteúdo de mensagens privadas, números de documentos de identificação e números de telefone também não estão entre as categorias de dados verificadas. Para uma avaliação confiável, o escopo se limita a endereços de e-mail, nomes de usuário e senhas; não são acrescentados outros tipos de dados que poderiam causar pânico desnecessário aos usuários.

O risco é maior para quem criou uma conta do MySpace antes de 2013 e usou a mesma senha ou uma semelhante em outros serviços. Usuários que ainda mantêm o endereço de e-mail antigo ativo podem observar tentativas de adivinhação de senha em outras contas abertas com esse endereço. Para quem usou o nome de usuário antigo em diferentes plataformas, aumenta o risco de associação de identidades. Usuários que mantiveram o mesmo apelido, especialmente em contas de serviços de música, fóruns, jogos e redes sociais, podem ser alvos mais fáceis.

O risco não se restringe a quem usa suas contas ativamente. Contas abandonadas, endereços de e-mail esquecidos e senhas antigas podem aparecer nas listas usadas por invasores em tentativas automatizadas de acesso. Se a conta de e-mail ainda estiver acessível, senhas semelhantes às antigas senhas do MySpace podem ser testadas em outras contas. Quem usou o e-mail de trabalho em contas pessoais de redes sociais no passado também pode ter sua identidade corporativa visada. O fato de os dados serem antigos não elimina o risco; a reutilização de senhas é uma fragilidade de segurança que pode persistir por anos.

A prioridade é verificar se alguma senha usada na conta do MySpace, ou uma senha semelhante, ainda está em uso em outros serviços. Cada conta em que a mesma senha ou uma semelhante for encontrada deve receber uma senha forte e exclusiva. Contas de e-mail, redes sociais, armazenamento em nuvem, serviços financeiros e contas de trabalho são as primeiras a verificar. Os e-mails e números de telefone para recuperação de conta devem estar atualizados, as sessões desconhecidas devem ser encerradas e a autenticação de dois fatores deve ser ativada sempre que possível.

Se você tiver acesso à conta antiga do MySpace, redefina a senha, reduza as informações pessoais desnecessárias no perfil e remova conexões que não usa. Se não tiver acesso, examine o histórico de segurança das contas importantes vinculadas ao mesmo endereço de e-mail. O uso de um gerenciador de senhas facilita a criação de uma senha exclusiva para cada serviço. Se você encontrar na caixa de entrada mensagens direcionadas à conta antiga do MySpace ou ao mesmo nome de usuário, recomenda-se fazer uma verificação separada pela página oficial de login, sem clicar nos links das mensagens.

Esse incidente mostra que contas antigas de redes sociais podem representar um risco de segurança mesmo muitos anos depois. Contas que não são mais usadas devem ser encerradas ou, pelo menos, protegidas com uma senha exclusiva e autenticação de dois fatores. Se muitas contas antigas foram abertas com o mesmo endereço de e-mail, pode ser preferível usar um endereço separado ou um alias de e-mail para serviços importantes. Como reutilizar o nome de usuário em diferentes plataformas facilita a associação de identidades, uma estratégia diferente de escolha de nomes é mais segura para contas sensíveis ou profissionais.

Do ponto de vista corporativo, deve-se partir do pressuposto de que senhas antigas de redes sociais podem ter sido reutilizadas em contas de funcionários. As equipes de segurança devem implementar verificações contínuas para detectar a reutilização de senhas, políticas de senhas fortes, autenticação de dois fatores obrigatória e monitoramento de tentativas suspeitas de login. Usuários individuais também devem manter um inventário de contas antigas, revisar regularmente o histórico de sessões de contas importantes e tratar a troca de senhas não apenas como uma medida após um vazamento, mas também como parte da manutenção regular de segurança. Embora possa ser difícil lembrar senhas antigas, usar novas senhas exclusivas com um gerenciador de senhas reduz o risco de forma duradoura.

Se o resultado da consulta for positivo, isso significa que o endereço de e-mail, o nome de usuário ou a senha associados à sua conta do MySpace aparecem no conjunto de dados verificado. Esse resultado não significa que suas informações financeiras ou mensagens privadas tenham vazado. A principal medida é eliminar a possibilidade de a mesma senha ter sido usada em outros serviços. Primeiro, proteja sua conta de e-mail e seus serviços importantes; depois, revise suas contas antigas de redes sociais e fóruns.

Se o resultado da consulta for negativo, isso significa apenas que nenhuma correspondência foi encontrada nesse conjunto de dados; o risco relacionado a outros incidentes anteriores não é totalmente eliminado. Se você abriu muitas contas antigas com o mesmo endereço de e-mail, adote, ainda assim, uma senha exclusiva para cada conta e a autenticação de dois fatores como prática padrão. Como o incidente do MySpace mostrou que até contas esquecidas podem afetar a segurança da identidade e das senhas anos depois, a abordagem mais adequada é garantir que senhas antigas não sejam reutilizadas em nenhum serviço importante.