Não é SOCRadar
O incidente Não é SOCRadar está relacionado a um grande conjunto de dados composto por centenas de milhões de linhas de endereços de e-mail, publicado em um fórum de crimes cibernéticos em agosto de 2024.
Tipos de dados expostos
1- Endereços de e-mail
Sobre este vazamento
Embora o compartilhamento tenha sido inicialmente associado ao nome SOCRadar, avaliações verificadas indicam que ele não pode ser descrito como acesso não autorizado aos sistemas da empresa nem como vazamento de dados de clientes. A principal característica desse conjunto de dados é a circulação, em grande volume, de listas de endereços de e-mail coletados em canais públicos do Telegram e outros espaços igualmente acessíveis.
Essa distinção é fundamental para a segurança dos usuários. Não se deve concluir que uma pessoa cujas informações tenham correspondência nos dados possui uma conta no SOCRadar, é cliente do SOCRadar ou teve arquivos pessoais obtidos dos sistemas internos da empresa em que trabalha. A avaliação correta é que apenas o endereço de e-mail está visível, mas sua exposição em uma lista de grande escala aumenta o risco de spam, phishing e descoberta de contas. Portanto, o incidente não deve ser descrito nem com termos exagerados de violação de sistemas corporativos, nem como se não houvesse risco algum.
Tipos de dados vazados e riscos
O único tipo de dado verificado são endereços de e-mail. Senhas, hashes de senhas, números de telefone, endereços físicos, informações de pagamento, documentos de identificação e conteúdo de contas não estão entre os campos verificados neste incidente. Embora pareça ser apenas um campo, o endereço de e-mail é um ponto de partida importante nas cadeias de ataque. A presença de um endereço na lista pode indicar ao invasor que a pessoa é um usuário real e está associada a um domínio específico.
Endereços de e-mail são usados especificamente para phishing direcionado, spam em massa, tentativas de redefinição de senha, verificação de criação de contas e cruzamento com vazamentos antigos. Endereços corporativos podem fornecer pistas sobre o nome, o departamento ou a empresa do funcionário. Já os endereços pessoais podem ser usados em tentativas de associação com contas de redes sociais, compras, serviços financeiros e candidaturas a empregos. Portanto, mesmo que apenas o campo de e-mail tenha sido verificado, o nível de risco do incidente é alto devido ao volume e ao potencial de uso indevido.
Escopo verificado e limites
O escopo verificado consiste em 282.478.425 endereços de e-mail únicos e com formato válido. No compartilhamento inicial, foi informado um número maior de linhas; no entanto, do ponto de vista do usuário, o número a considerar é o de endereços únicos. Considera-se 3 de agosto de 2024 como a data do incidente, que foi adicionado às listas confiáveis em 9 de agosto de 2024. Essa última data também coincide com a data da última alteração verificada.
Os limites deste incidente devem permanecer claros: a verificação confirma a exposição da lista de e-mails, mas não confirma que os sistemas de segurança do SOCRadar tenham sido comprometidos. A descrição deve evitar afirmações categóricas de que os clientes da empresa foram diretamente colocados em risco, os sistemas internos foram expostos ou dados confidenciais de clientes foram obtidos. O nome do registro também deve refletir essa distinção; a mensagem ao usuário deve se concentrar no risco associado à extensa lista de e-mails, e não na alegação de uma violação dos sistemas da organização.
Grupos de usuários em risco
O grupo em risco inclui usuários individuais cujos endereços de e-mail aparecem na lista e usuários de endereços com domínios corporativos. Endereços profissionais podem se tornar alvos de mensagens relacionadas a vendas, contabilidade, suporte e recursos humanos, além de mensagens que se passam por executivos. Caixas de e-mail de contato geral também podem receber mensagens sobre ofertas falsas, faturas falsas, supostos alertas de segurança ou compartilhamento de arquivos.
O risco para endereços pessoais aumenta quando o mesmo endereço é usado em diferentes serviços. Invasores podem combinar esses endereços com listas de senhas vazadas anteriormente para iniciar tentativas de tomada de contas. Como o único tipo de dado é o e-mail, não se pode afirmar que as informações financeiras ou de identificação oficial da pessoa tenham sido expostas neste incidente; no entanto, a inclusão do endereço em uma lista verificada de alvos pode fazer com que mensagens maliciosas recebidas na caixa de entrada pareçam mais convincentes.
Medidas urgentes a tomar
Se o seu endereço aparecer nos resultados, verifique primeiro a segurança da sua conta de e-mail. A senha da conta deve ser única e forte, e você não deve usar a mesma senha em outros serviços. Ative a autenticação de dois fatores, mantenha o e-mail e o telefone de recuperação atualizados e encerre sessões desconhecidas. Embora a exposição apenas do endereço de e-mail não exija uma troca de senha, essa verificação é prioritária, pois a conta de e-mail funciona como ponto central de recuperação de muitas outras contas.
O próximo passo é cuidar de como você lida com a caixa de entrada. Confira o domínio do remetente e o contexto da mensagem antes de clicar em links em mensagens sobre pagamentos, cobranças, entregas, alertas de segurança, compartilhamento de arquivos e verificação de contas. Para as organizações, o incidente deve servir como um sinal para atualizar as regras de segurança de e-mail, as ações de conscientização dos funcionários e as listas de endereços de alto risco. Não abra anexos inesperados e confirme por um segundo canal as mensagens que solicitam códigos de login.
Estratégias de segurança de longo prazo
No longo prazo, considere usar aliases de e-mail exclusivos ou endereços de contato separados para contas importantes. Vincular contas críticas (financeiras, profissionais e de executivos) a um único endereço de uso geral cria riscos. Usar um gerenciador de senhas, gerar senhas diferentes para cada conta e encerrar contas antigas reduz a exposição. No ambiente corporativo, manter corretamente as configurações de DMARC, SPF e DKIM diminui o risco de remetentes fraudulentos.
Grandes listas de e-mails podem ser combinadas com outros conjuntos de dados ao longo do tempo. Por isso, a abordagem de segurança não deve se limitar a este incidente. Verifique regularmente se o mesmo endereço aparece em outros incidentes que contenham senhas, nomes de usuário, números de telefone ou endereços. As soluções de segurança de e-mail devem bloquear links e anexos de risco, o treinamento dos funcionários deve incluir cenários realistas de phishing e as contas com privilégios elevados devem contar com verificação adicional de login.
Verificação do registro e ação do usuário
Se o resultado no LeakData for positivo, isso significa que o endereço de e-mail foi encontrado no conjunto de dados Não é SOCRadar. Esse resultado não indica que você tenha uma conta no serviço SOCRadar ou seja cliente da empresa. Ele significa que o endereço está em uma grande lista de e-mails e que a probabilidade de uso indevido é maior. Reforce a segurança de login, especialmente nas contas importantes que usam o mesmo endereço.
Se o resultado for negativo, isso significa que não há correspondência neste conjunto de dados; no entanto, o mesmo endereço pode aparecer em outras listas em outros momentos. Por isso, mantenha o monitoramento regular, use senhas únicas, ative a verificação em duas etapas e tenha cuidado ao usar o e-mail. As equipes de segurança corporativa devem considerar a presença de endereços de seus domínios nessas listas como um alerta antecipado para as defesas contra spam e phishing.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
