NetProspex Lista de dados de spam

Os campos verificados no vazamento da NetProspex são endereços de e-mail, informações sobre empregadores, cargos, nomes, números de telefone e endereços físicos. Embora esses campos, por si só, não contenham senhas, eles têm grande valor para a identificação profissional. Quando o nome, a empresa, o cargo e as informações de contato de uma pessoa aparecem juntos, os invasores podem preparar mensagens comerciais que pareçam legítimas, solicitações em que se passam por executivos, convites falsos para reuniões ou correspondências que aparentem vir de fornecedores.

O fato de a base de dados ser uma lista de marketing é especialmente importante. Embora essas listas sejam usadas em campanhas de e-mail em larga escala, seu uso indevido também pode viabilizar phishing direcionado e ataques baseados na função profissional. Registros com cargos facilitam a identificação de alvos de alto impacto, como profissionais das áreas financeira, de recursos humanos, de tecnologia da informação, de compras e de gestão. Para pessoas cujos registros incluem telefone e endereço, também aumenta o risco de engenharia social por meio de ligações e de fraudes por correspondência.

A data registrada para o incidente é setembro de 2016. O conjunto de contas verificado contém 33.698.126 registros individuais únicos. O incidente está relacionado ao vazamento online de dados de profissionais, predominantemente do meio corporativo dos Estados Unidos, e há indicações de que dados de marketing obtidos por meio de um fornecedor comercial de dados podem ter sido perdidos no ambiente de um cliente terceiro. Essa distinção é importante, pois o incidente não deve ser avaliado como um vazamento comum de uma base de dados de usuários cadastrados, mas como um caso em que dados de um diretório de contatos profissionais saíram do controle.

As categorias de dados nesta página se limitam aos principais campos verificáveis: endereços de e-mail, empregadores, cargos, nomes, números de telefone e endereços físicos. Campos como senhas, cartões de pagamento ou números de documentos de identificação não aparecem como categorias principais de dados no resultado da NetProspex. Assim, você pode se concentrar nos riscos reais decorrentes da identidade profissional e das informações de contato, sem ser levado a acreditar que sua conta foi comprometida.

Funcionários de empresas, gestores, servidores de instituições públicas, equipes de vendas, áreas financeiras, equipes de recursos humanos e profissionais de compras apresentam maior risco aparente segundo os resultados da NetProspex. Quando o e-mail de trabalho, o cargo e o nome da empresa aparecem juntos, os invasores podem direcionar à pessoa mensagens compatíveis com sua função na organização. Isso favorece especialmente ataques que usam como pretexto a aprovação de faturas, a troca de fornecedores, solicitações de reunião ou o compartilhamento de arquivos.

O risco é maior para pessoas que trabalham em empresas ou instituições públicas de grande visibilidade. Conhecer a hierarquia corporativa e os cargos ajuda a entender quem toma decisões sobre cada assunto. Pessoas cujos números de telefone estão disponíveis podem ser alvo de falsas ligações de suporte; aquelas cujos endereços físicos estão disponíveis podem ser abordadas sob o pretexto de correspondências, entregas ou visitas ao escritório. Mesmo e-mails de trabalho antigos podem continuar sendo úteis para fraudes externas, falsificação de identidade de marcas e tentativas de reconhecimento de contas.

Se você aparece nos resultados da NetProspex, deve levar a sério o risco de phishing, especialmente em e-mails de trabalho. Examine com cuidado convites suspeitos para reuniões, solicitações de faturas, notificações de alteração de contas de fornecedores, mensagens de redefinição de senha e links de compartilhamento de arquivos. Mesmo que a mensagem pareça vir de dentro da empresa, verifique o endereço do remetente, o domínio do link e o contexto da solicitação.

Ative a autenticação multifator nas contas da organização, mantenha os alertas de segurança de e-mail ativados e confirme solicitações sensíveis por um segundo canal. Em solicitações de suporte ou pagamento recebidas por telefone, verifique a identidade de quem liga por um meio independente do diretório corporativo. No âmbito pessoal, revise as contas de serviços de terceiros criadas com o mesmo e-mail de trabalho, reduza as informações desnecessárias em perfis públicos e tenha cautela com links enviados por listas de e-mail desconhecidas.

O incidente da NetProspex mostra que dados de marketing e de diretórios de contatos profissionais também podem representar riscos graves de segurança. As organizações devem revisar regularmente onde são publicados os endereços de e-mail, os cargos e os dados de telefone de seus funcionários. O treinamento sobre phishing para profissionais de compras, finanças e cargos executivos deve ser elaborado com base nos fluxos reais de trabalho; devem existir regras claras de verificação para solicitações como faturas, alterações de contas bancárias e compartilhamento de documentos sensíveis.

No longo prazo, aliases de e-mail, caixas de e-mail por função, filtros de mensagens recebidas e controles de verificação de domínio devem ser usados em conjunto. As equipes de segurança corporativa não devem tratar vazamentos de dados pessoais profissionais como menos prioritários que vazamentos de senhas, pois eles podem fornecer contexto suficiente para preparar ataques direcionados. Você também deve evitar manter detalhes excessivos sobre sua vida profissional em redes sociais e perfis acessíveis ao público.

Se um resultado da NetProspex aparecer na verificação em Segurança da conta, isso significa que o endereço de e-mail em questão está incluído na base verificada de dados de profissionais associada ao vazamento de dados da NetProspex de 2016. Esse resultado não indica que sua senha foi comprometida; no entanto, indica que você pode estar exposto a mensagens direcionadas que usem informações como seu nome, e-mail de trabalho, empresa, cargo, número de telefone ou endereço.

O primeiro passo é verificar as configurações de segurança do e-mail de trabalho e a autenticação multifator. Em seguida, crie o hábito de fazer uma segunda verificação diante de faturas suspeitas, compartilhamentos de arquivos, reuniões ou solicitações de fornecedores ou de suporte. Se houver uma equipe interna de segurança, compartilhe o resultado da NetProspex e revise os alertas de phishing relacionados ao endereço de e-mail em questão. No âmbito pessoal, simplifique seus perfis profissionais públicos e não inicie nenhuma ação por meio de links em mensagens de marketing desconhecidas.