Netlog Vazamento de dados

Os campos de dados verificados são endereços de e-mail e senhas. Mesmo um endereço de e-mail isolado já oferece aos invasores um ponto de partida para enviar mensagens direcionadas de phishing, alertas falsos de login e tentativas de fraude usando o nome do antigo serviço. A exposição de informações de senha aumenta significativamente o nível de risco, pois o uso da mesma senha em outros sites pode levar ao comprometimento de contas do usuário fora do Netlog. Especialmente no caso de contas antigas de redes sociais, senhas escolhidas anos atrás podem continuar sendo usadas em diferentes serviços sem alteração. Assim, os efeitos desse vazamento podem persistir por muito tempo após a data do incidente.

A presença de um endereço de e-mail junto com os dados de senha constitui um par de credenciais que um invasor pode testar. Esse par pode ser usado em ataques automatizados de adivinhação de senhas; além disso, o endereço de e-mail pode permitir que outras contas do usuário sejam identificadas por inferência. Se o usuário usa a mesma senha na conta de e-mail, em uma rede social ou na conta de trabalho, o risco não se limita à antiga conta do Netlog. Por isso, em uma avaliação de segurança, o foco principal não é saber se a conta do Netlog ainda está ativa hoje, mas em quais outros serviços a senha pode ter sido usada.

O escopo verificado do incidente abrange usuários que se cadastraram no Netlog antes de dezembro de 2012. Como o serviço foi encerrado em 2015, não há operações que os usuários possam realizar ao entrar no Netlog; no entanto, permanece a possibilidade de que as mesmas credenciais sejam válidas em outras contas. O número de contas afetadas supera 49 milhões, e a data indicada para o incidente é novembro de 2012. O fato de os registros terem sido adicionados posteriormente não significa que o vazamento tenha ocorrido naquele momento; a descoberta, a verificação e a inclusão em listas de segurança ocorreram em um processo posterior.

Os dados que ficaram fora do escopo são pelo menos tão importantes quanto os que vazaram. Na notificação, a empresa informou que a base de dados não contém números de identificação emitidos pelo governo, dados de cartões de pagamento nem informações bancárias. Portanto, a explicação dos riscos do Netlog não deve ser ampliada como se tivesse ocorrido um vazamento de números de contas financeiras ou de documentos oficiais de identidade. A avaliação correta deve se limitar aos riscos de tomada de controle de contas, reutilização de senhas, phishing e engenharia social decorrentes do par formado pelo endereço de e-mail e pela senha. Esse limite permite concentrar a atenção em medidas de segurança pertinentes, sem causar pânico desnecessário entre os usuários.

O grupo de maior risco é formado por usuários que continuaram usando em outras contas a senha que utilizavam na época do Netlog. Especialmente para pessoas que mantêm o mesmo endereço de e-mail há anos, uma senha antiga de rede social pode ser uma credencial valiosa para testar em diferentes serviços. Continuar usando uma senha antiga com pequenas modificações, como acrescentar um ano ou um símbolo ao final, não elimina completamente o risco; os invasores também podem testar essas variações. Contas de e-mail, redes sociais, jogos, fóruns, armazenamento em nuvem e compras devem ser priorizadas nessas verificações.

O segundo grupo de risco é composto por pessoas que ainda usam o endereço de e-mail da conta do Netlog como contato ativo. Essas pessoas podem ser alvo de alertas falsos ou de mensagens de redefinição de senha que mencionem informações de seu antigo cadastro. O terceiro grupo inclui usuários que mantêm os mesmos hábitos de uso de senhas em várias contas em casa, na escola ou no trabalho. O vazamento de uma única senha antiga pode enfraquecer a segurança de muitas contas devido a padrões de senha compartilhados. Por isso, a verificação não deve se limitar à busca pelo nome Netlog; todas as contas criadas no mesmo período devem ser revisadas.

O primeiro passo é garantir que a senha que pode ter sido usada no Netlog não seja válida em nenhuma conta ativa hoje. Se a mesma senha ou uma variação muito semelhante ainda estiver em uso, devem ser definidas imediatamente senhas fortes e exclusivas para as contas correspondentes. A ordem de prioridade é: contas de e-mail, contas principais usadas para redefinir senhas, serviços financeiros, perfis de redes sociais e contas de trabalho. Proteger a conta de e-mail é especialmente importante porque os invasores tentam acessar, por meio dela, os links de redefinição de senha da maioria dos serviços.

Ao trocar as senhas, deve-se escolher uma senha diferente para cada serviço e, se possível, usar um gerenciador de senhas confiável. Nas contas que oferecem autenticação multifator, essa proteção deve ser ativada. Nas páginas de atividade da conta, é necessário verificar se há sessões desconhecidas, logins de outros países ou dispositivos, regras não autorizadas de encaminhamento de e-mails e aplicativos conectados que não sejam reconhecidos. Se houver atividade suspeita, todas as sessões devem ser encerradas, a senha deve ser trocada e o endereço de e-mail e o número de telefone de recuperação devem ser conferidos.

O incidente do Netlog mostra que senhas usadas em serviços antigos podem representar um risco mesmo anos depois. Usar uma senha exclusiva para cada conta deve ser a regra básica para a proteção de longo prazo. Os usuários devem listar periodicamente suas contas antigas e considerar as opções de excluir contas ou desativar o acesso a serviços que já não utilizam. Se um endereço de e-mail é usado há muitos anos, escolher um endereço de contato separado para contas críticas e usar outro para contas de marketing, fóruns ou redes sociais antigas pode reduzir a superfície de ataque.

Usuários corporativos precisam de controles adicionais. O uso de senhas pessoais antigas de funcionários em contas de trabalho representa um risco de ataques de adivinhação de senhas contra recursos corporativos. Por isso, medidas de defesa como regras que impeçam a reutilização de senhas, autenticação multifator, alertas de anomalias em sessões e verificações de senhas comprometidas em vazamentos devem ser consideradas em conjunto. Os treinamentos devem explicar que vazamentos antigos de redes sociais e fóruns ainda podem afetar contas atuais, com exemplos concretos de por que é perigoso usar uma única senha antiga em vários lugares.

Você pode consultar seu endereço de e-mail no LeakData para verificar se há uma correspondência com o vazamento do Netlog. Se houver, isso significa que seu endereço de e-mail e a senha usada na época do Netlog estão incluídos no conjunto de dados do vazamento. Como o serviço foi encerrado, talvez não seja possível tomar medidas diretamente na sua conta do Netlog; a principal ação é proteger outras contas ativas nas quais a mesma senha possa ter sido usada. Se você se lembra da senha antiga, priorize todos os serviços em que a utilizou e substitua as senhas por outras exclusivas para cada serviço.

Mesmo que nenhuma correspondência seja encontrada, reutilizar senhas antigas não é seguro. Trocar senhas que não são alteradas há muito tempo, ativar a autenticação multifator e revisar as opções de recuperação são bons hábitos de segurança. O vazamento do Netlog não deve ser associado a dados financeiros ou de documentos oficiais de identidade; no entanto, o par formado pelo e-mail e pela senha representa um risco suficientemente sério para a segurança das contas. Por isso, verificações regulares, o uso de um gerenciador de senhas e a escolha de uma senha diferente para cada serviço formam a base de uma proteção duradoura.