Vazamento de dados do Neopets em 2013

Os campos verificados são datas de nascimento, endereços de e-mail, gêneros, localizações geográficas, endereços IP, nomes, senhas em texto simples e nomes de usuário. Uma senha em texto simples significa que havia uma senha legível, e não um hash de senha. Isso cria um risco particularmente grave para quem reutilizou a mesma senha em outros serviços. Nomes de usuário e endereços de e-mail também podem ajudar um invasor a relacionar contas diferentes que pertencem à mesma pessoa.

Data de nascimento, nome, gênero e localização podem fazer com que mensagens sobre suporte à conta, recompensas no jogo, verificação de idade ou autorização dos pais pareçam personalizadas. Um endereço IP, por si só, não determina uma localização física nem identifica sessões atuais, mas pode facilitar a seleção de alvos quando combinado com outros detalhes. A lista de campos não significa que cada correspondência inclua todos eles.

As fontes verificadas não listam cartões de pagamento nem endereços físicos. Esse limite significa que informações de pagamento não fazem parte do escopo comprovado deste incidente; ele não comprova que nenhuma outra informação do serviço tenha sido afetada. Trate uma correspondência como um sinal de risco pessoal e não aceite como fatos outros tipos de dados que não tenham sido verificados.

O número de contas de referência para este registro é 26.892.897, e a data do vazamento é 5 de maio de 2013. O fato de os dados terem aparecido em negociações online em 2016 não altera a data do vazamento para 2016. Algumas alegações históricas mencionavam um total bruto maior, mas o escopo verificado de endereços de e-mail únicos é a medida usada nesta página. Um total bruto não corresponde a uma contagem de pessoas distintas ou de jogadores ativos.

Neopets é um serviço de jogos online e comunidade com público global. A presença de uma pessoa neste registro não comprova que ela tenha uma conta em outro serviço de jogos nem que também esteja incluída em um incidente posterior e separado do Neopets. Incidentes que tenham um endereço de e-mail em comum não devem ser somados; cada um precisa ser avaliado com base em sua própria data e em seus campos verificados.

As informações verificadas não estabelecem o meio de acesso inicial, a identidade de um invasor, o momento em que cada arquivo de dados foi copiado pela primeira vez nem quais detalhes de perfil cada pessoa forneceu. A data identifica o período associado ao incidente; por si só, ela não indica o último login nem o estado atual de acesso a uma conta. Essas limitações não reduzem o risco das senhas em texto simples, mas exigem cautela com alegações técnicas que não podem ser confirmadas.

Quem reutilizou uma senha do Neopets em um serviço de e-mail, rede social, jogo, site de compras ou outro cadastro deve receber a maior prioridade. A presença de uma senha em texto simples cria o risco de que essa mesma senha seja testada em outros sistemas. Mesmo quem não usa uma conta antiga de jogo há anos pode ser afetado se o mesmo endereço de e-mail ou a mesma senha tiver sido usado depois em um serviço mais recente.

Quem tiver uma correspondência que inclua data de nascimento, nome real e nome de usuário deve ficar atento a tentativas personalizadas de engenharia social. Um invasor pode usar temas como itens do jogo, segurança da conta, restrições de idade ou recompensas de aniversário. Uma mensagem que contenha um nome de usuário ou uma data de nascimento correta não comprova que o remetente representa o serviço verdadeiro.

Contas antigas criadas na infância ou compartilhadas com familiares também merecem revisão. Mensagens sobre contas de pais ou filhos podem levar as pessoas a revelar mais detalhes pessoais. O registro não lista endereços físicos, portanto não se pode afirmar que todas as pessoas estejam sujeitas a abordagens direcionadas detalhadas fora da internet. Ainda assim, enganos online e tentativas de recuperação de conta precisam ser levados a sério.

Primeiro, identifique em quais outros serviços você usou uma senha que pode ter sido usada no Neopets. Se a mesma senha, ou uma senha semelhante, tiver sido usada em qualquer serviço, altere imediatamente a senha dessa conta para uma senha longa e exclusiva. Como uma conta de e-mail permite recuperar o acesso a muitos serviços, priorize a revisão da senha do e-mail e das configurações de autenticação multifator.

Avalie com cuidado contatos inesperados que se apresentem como Neopets, suporte do jogo, oferta de um item do jogo ou aviso sobre uma conta antiga. Antes de abrir um link, avalie separadamente o domínio do remetente, a ação solicitada e o endereço real da página de login. Para confirmar um aviso suspeito, acesse diretamente o endereço oficial conhecido do serviço, em vez de usar o link da mensagem.

Verifique dispositivos desconhecidos, sessões ativas, endereços de e-mail de recuperação e aplicativos conectados nas contas importantes. Se você identificar um acesso desconhecido, encerre a sessão, atualize os dados de recuperação e mantenha os alertas de segurança ativados. Use o canal oficial de suporte do serviço em questão quando houver atividade suspeita e nunca forneça um código de uso único, uma senha ou um documento de identidade em resposta a uma abordagem não solicitada.

Usar uma senha longa e diferente para cada serviço online limita o impacto de exposições antigas de senhas em texto simples. Um gerenciador de senhas pode gerar senhas fortes e reduzir a reutilização. Quando houver autenticação multifator disponível, prefira um aplicativo autenticador ou uma chave física de segurança. Códigos por mensagem de texto acrescentam proteção, mas não conseguem impedir toda tentativa convincente de fraude.

Revise regularmente a privacidade dos seus perfis em jogos e redes sociais. Compartilhe detalhes como data de nascimento, nome real, nome de usuário, lista de amigos ou localização apenas quando necessário. Reduzir o uso do mesmo nome de usuário e dos mesmos detalhes de perfil em comunidades diferentes dificulta o cruzamento de informações públicas. Remover detalhes desnecessários de contas antigas deixa menos informações de contexto para futuras abordagens direcionadas.

Revise periodicamente a segurança da recuperação de contas. Endereços de e-mail secundários, números de telefone, dispositivos conectados, sessões ativas e regras de encaminhamento precisam permanecer atualizados. Aja rapidamente ao identificar um login desconhecido, uma regra de encaminhamento desconhecida ou uma alteração nas configurações de segurança. Esses hábitos protegem todas as suas contas online, não apenas as de pessoas com correspondência neste incidente do Neopets.

Use a consulta aos registros nesta página para verificar se o seu endereço de e-mail corresponde ao incidente do Neopets de 2013. Uma correspondência indica que o endereço está dentro do escopo verificado; ela não comprova que todos os tipos de dados apareceram no seu registro, que uma conta atual foi comprometida ou que você também foi afetado por um incidente posterior e separado. Trate o resultado como um sinal de risco pessoal para priorizar a revisão de senhas reutilizadas e a segurança da conta.

Se não houver correspondência, ainda pode ser útil revisar endereços de e-mail antigos, nomes de usuário alternativos e contas de jogos que você não usa mais. A ausência de correspondência não garante que não existam dados pessoais em outros locais na internet. Senhas exclusivas, autenticação multifator, revisão rotineira das contas e confirmação independente de contatos suspeitos continuam sendo a defesa mais confiável.