NetEase Suposta exposição de dados

As categorias de dados verificadas são endereços de e-mail e senhas. O endereço de e-mail é o principal identificador usado por invasores para reconhecer o usuário-alvo e procurar a mesma identidade em outras plataformas. A senha aumenta diretamente o nível de risco; em especial, senhas armazenadas em texto simples ou em um formato fácil de quebrar podem ser usadas em tentativas automatizadas de tomada de contas. Se um usuário reutilizou a mesma senha na conta de e-mail, no perfil de rede social, na conta de jogos, em um site de compras, no armazenamento em nuvem ou em serviços de trabalho, um único vazamento pode afetar muitas contas. Portanto, o vazamento de dados da NetEase não é apenas um problema antigo de um serviço de e-mail, mas um incidente crítico de segurança que demonstra as consequências de longo prazo da reutilização de senhas.

A combinação de e-mail e senha é uma das mais favoráveis para ataques de reutilização de credenciais. Invasores podem testar quais contas ainda estão acessíveis ao tentar usar as mesmas informações em diferentes plataformas. Se a caixa de entrada do e-mail for comprometida após tentativas bem-sucedidas, também existe o risco de acesso a outras contas por meio de links de redefinição de senha. Mesmo que o endereço de e-mail não esteja mais ativo, ele pode ter sido usado em cadastros de diferentes serviços ao longo dos anos. Isso não reduz o impacto de vazamentos antigos; pelo contrário, contas esquecidas, senhas fracas e credenciais de acesso que não são alteradas há muito tempo fazem o risco persistir.

O registro está associado a 234.842.089 contas, e a data do incidente foi registrada como 19 de outubro de 2015. A data de inclusão é 9 de outubro de 2016. Os campos de dados se limitam a endereços de e-mail e senhas; campos adicionais de dados pessoais, como nome completo, número de telefone, endereço físico, informações de pagamento ou documento de identificação oficial, não foram verificados neste incidente. Como o nível de verificação é limitado, o número de usuários e o conjunto de dados completo não devem ser apresentados como uma divulgação exata feita pela empresa. Ainda assim, indícios de numerosas correspondências com senhas reais indicam que os usuários não devem ignorar este incidente. Mesmo quando a verificação é limitada em vazamentos que contêm senhas, as medidas de proteção não devem ser adiadas.

É importante compreender corretamente essas limitações. Este conjunto de dados deve ser avaliado com base nas credenciais associadas à NetEase ou ao domínio 163.com. Como não há verificação confiável da existência de outros campos no conjunto de dados além de e-mail e senha, nenhum tipo adicional de dado foi incluído na descrição. O registro não está marcado como contendo dados sensíveis; no entanto, seu impacto na segurança é alto por conter senhas. Do ponto de vista do usuário, a pergunta mais importante é em quais outros lugares essa senha foi reutilizada. Se a mesma senha foi usada em diferentes serviços, este vazamento pode continuar representando um risco mesmo anos depois.

O grupo de maior risco é formado por usuários que também utilizam em outros serviços a senha da conta NetEase ou 163.com. Se a mesma combinação de e-mail e senha for válida em outras plataformas, invasores podem usar essas informações contra diferentes contas com ferramentas de teste rápido. Pessoas que usam serviços antigos de e-mail sediados na China, usuários que escolhem o mesmo endereço de e-mail para contas em jogos e fóruns internacionais, titulares de contas que não alteram a senha há muito tempo e pessoas que se esqueceram de contas antigas devem ter cuidado especial. O fato de uma senha ter vazado anos atrás não significa que ela esteja segura agora; conjuntos de dados muito antigos ainda podem circular em listas usadas em ataques de reutilização de credenciais.

O segundo grupo de risco é composto por pessoas que usam o mesmo endereço de e-mail como endereço de recuperação. Se um invasor obtiver acesso a uma conta de e-mail, poderá explorar o processo de redefinição de senha das contas vinculadas. Além disso, manter cadastros em muitos serviços com o mesmo endereço de e-mail facilita a combinação dos rastros digitais do usuário. O risco é maior para pessoas que usam o e-mail corporativo em serviços pessoais; um vazamento em um serviço pessoal pode abrir caminho para tentativas de phishing contra uma conta de trabalho. Portanto, os usuários precisam avaliar individualmente não apenas a senha da NetEase, mas também todas as contas associadas ao mesmo e-mail e ao histórico de senhas utilizadas.

O primeiro passo é garantir que a senha usada na conta NetEase ou 163.com não seja mais utilizada em nenhuma outra conta. Se a mesma senha foi reutilizada em outros serviços, é necessário definir senhas fortes e exclusivas para todas as contas relacionadas. O uso de um gerenciador de senhas facilita o armazenamento seguro de senhas longas e aleatórias. A autenticação multifator deve ser ativada em contas críticas, como contas de e-mail, perfis de redes sociais, armazenamento em nuvem, serviços financeiros e contas de trabalho. As opções de redefinição de senha, os endereços de e-mail de recuperação e os telefones vinculados também devem ser verificados.

O segundo passo é revisar o histórico de acessos suspeitos e as notificações de segurança. Os usuários devem ficar atentos a dispositivos desconhecidos, acessos inesperados e e-mails incomuns de redefinição de senha. As regras de encaminhamento, os filtros automáticos e as configurações de recuperação da conta de e-mail devem ser verificados; invasores podem tentar encaminhar mensagens sem deixar um rastro permanente nas contas às quais obtiveram acesso. Se a conta NetEase não estiver mais em uso, devem ser consideradas as opções de encerramento da conta ou atualização das credenciais de acesso. Para contas antigas que já não podem ser usadas, a medida mais importante é garantir que a mesma senha não seja utilizada em outros lugares.

O incidente da NetEase demonstra como a reutilização de senhas pode se tornar uma vulnerabilidade de segurança mesmo anos depois. Para garantir proteção de longo prazo, é necessário usar uma senha exclusiva em cada serviço, ativar a autenticação multifator em todas as contas que oferecem esse recurso e revisar regularmente o histórico de sessões das contas críticas. Os endereços de e-mail também podem ser separados conforme a finalidade; quando cadastros pessoais, contas de trabalho e contas financeiras estão vinculados ao mesmo endereço de e-mail, um único vazamento tem um impacto mais amplo. A conta de e-mail, em especial, deve receber a proteção mais forte, pois funciona como o principal meio de recuperação das outras contas.

Os usuários não devem encarar vazamentos antigos apenas como informações históricas. Conjuntos de dados antigos podem servir de fonte para novos ataques. Invasores podem testar e-mails e senhas vazados anos atrás em novas plataformas ou tornar mensagens de phishing mais convincentes. Por isso, o uso de um gerenciador de senhas, uma política de senhas exclusivas, uma chave de segurança ou um aplicativo de autenticação, a revisão e remoção de contas antigas e as verificações regulares das contas devem fazer parte de uma rotina permanente de segurança. Quando a reutilização de todas as senhas antigas é completamente eliminada, o impacto desses vazamentos antigos diminui de forma perceptível.

A consulta da NetEase no LeakData ajuda você a verificar se seu endereço de e-mail está associado a este vazamento de dados. Se o resultado for positivo, primeiro identifique todas as contas nas quais você usou a mesma senha e crie uma senha exclusiva para cada uma. Ative a autenticação multifator na sua conta de e-mail, verifique as opções de recuperação e encerre as sessões que você não reconhece. Revise também contas antigas de fóruns, jogos, compras ou armazenamento em nuvem criadas com o mesmo endereço de e-mail. Encerrar contas que você não usa mais ou atualizar suas senhas dificulta que vazamentos antigos se transformem em novos ataques.

Mesmo que seu endereço de e-mail não apareça neste vazamento, se você usa a mesma senha há muito tempo, um risco semelhante pode vir de outros conjuntos de dados. Por isso, sem depender do resultado de uma única consulta, é necessário abandonar completamente a reutilização de senhas e revisar regularmente as contas críticas. Embora o nível de verificação do vazamento de dados da NetEase seja limitado ao registro, a presença da combinação de e-mail e senha é um alerta suficientemente sério para o usuário. A abordagem mais adequada é usar uma senha exclusiva em cada conta, ativar a autenticação multifator e acessar a página oficial de login em vez de seguir links em mensagens suspeitas.