Operação Endgame

A coleção verificada continha endereços de e-mail e dados de senhas. O conjunto de dados fornecido pelas autoridades policiais incluía 16.466.858 endereços de e-mail únicos e aproximadamente 13,5 milhões de senhas únicas. As senhas foram processadas como hashes SHA-1 e NTLM, e não como texto simples, e não apareciam ao lado dos endereços de e-mail nem em pares vinculados a contas. Portanto, a contagem de registros representa endereços de e-mail únicos, e não um número equivalente de pessoas distintas ou de combinações de e-mail e senha. As únicas categorias de dados confirmadas são endereços de e-mail e senhas. A Operação Endgame não é um vazamento do banco de dados de uma empresa; trata-se de um registro de incidente relacionado a malware, compilado a partir de dados apreendidos em diferentes partes da infraestrutura criminosa para que possíveis vítimas pudessem saber da exposição de seus dados.

No fim de maio de 2024, autoridades policiais internacionais e equipes do setor privado iniciaram a ação coordenada da Operação Endgame contra a infraestrutura usada por carregadores de malware, incluindo IcedID, SystemBC, Pikabot, Smokeloader e Bumblebee. Quatro pessoas foram presas e mais de cem servidores foram desativados ou tiveram seu funcionamento interrompido em todo o mundo. Os endereços de e-mail e hashes de senhas encontrados nos dados apreendidos foram então transferidos para um processo seguro de notificação, para que possíveis vítimas pudessem verificar a exposição de seus dados. Os hashes de senhas foram desvinculados dos endereços de e-mail, de modo que a coleção não permite identificar qual senha pertencia a um endereço específico. A data de referência, 30 de maio de 2024, corresponde à divulgação pública da operação e da transferência dos dados. O registro não afirma que um site específico tenha sofrido um vazamento nem que todos os itens tenham vindo de uma única família de malware.

O maior risco é para pessoas cujos dispositivos podem ter sido afetados por atividades de botnets ou malware e que reutilizaram uma senha em vários serviços. Encontrar um endereço de e-mail na coleção, por si só, não comprova que uma senha específica tenha sido publicada junto desse endereço, que uma conta continue comprometida hoje ou que ainda haja malware em execução no dispositivo. No entanto, qualquer senha antiga que ainda seja usada em outras contas pode facilitar tentativas automatizadas de login e a tomada de controle de contas. A presença de um endereço em dados vinculados à infraestrutura criminosa também pode viabilizar phishing direcionado, alertas de segurança falsos, armadilhas de redefinição de senha e ofertas fraudulentas de limpeza de dispositivos. Todo resultado deve ser interpretado considerando a limitação fundamental de que o conjunto de e-mails e o conjunto separado de senhas não estavam vinculados entre si.

Se seu endereço for encontrado, proteja os dispositivos que você usa antes de alterar as credenciais; caso contrário, um malware ativo pode capturar as novas credenciais. Atualize o sistema operacional, o navegador e os aplicativos, faça uma verificação completa com um software de segurança confiável e remova extensões de navegador, itens de inicialização e ferramentas de acesso remoto que você não reconheça. Se o comportamento suspeito continuar, desconecte o dispositivo da rede e considere uma investigação profissional ou uma instalação limpa do sistema. Em um dispositivo no qual você confia, altere as credenciais dos serviços críticos, começando pela conta de e-mail principal. Substitua cada senha reutilizada por uma senha exclusiva, gerada aleatoriamente; pequenas variações não são suficientes. Encerre as sessões ativas, revise os endereços de recuperação e as regras de encaminhamento e ative a autenticação multifator ou as chaves de acesso sempre que estiverem disponíveis. Acesse os serviços diretamente, em vez de fazer login por links em mensagens de alerta.

Use um gerenciador de senhas para criar uma credencial longa e exclusiva para cada conta, de modo que uma senha roubada não comprometa outros serviços. Dê preferência a chaves de segurança resistentes a phishing ou a chaves de acesso nas contas de e-mail, financeiras e administrativas. Mantenha as atualizações automáticas, os firewalls e a proteção em tempo real ativados, obtenha software apenas de fontes oficiais e evite executar anexos inesperados. Revise regularmente as senhas armazenadas no navegador, as sessões e as extensões. As organizações podem reduzir os efeitos da perda de credenciais causada por malware com proteção gerenciada de dispositivos, registros centralizados, controles de acesso privilegiado e autenticação multifator obrigatória. Backups offline e testados melhoram a recuperação quando um carregador de malware leva a uma infecção por ransomware. Não confie em um remetente apenas porque ele conhece um endereço de e-mail real; verifique os avisos de segurança por um canal independente e acesse por conta própria o domínio conhecido do serviço.

Use o campo de busca seguro desta página para verificar cada endereço de e-mail atual ou antigo que você usou na época da Operação Endgame. Se um endereço for encontrado, isso significa que ele está entre os 16.466.858 e-mails únicos transferidos pela operação policial; não significa que um hash de senha específico estivesse vinculado a esse endereço nem que seu dispositivo esteja infectado atualmente. Se você receber um resultado, confirme a segurança dos dispositivos antes de substituir as senhas antigas reutilizadas; depois, examine as sessões da conta de e-mail e as configurações de recuperação e ative a autenticação multifator nas contas importantes. Como as senhas foram separadas dos endereços nesta coleção, avalie a exposição das senhas separadamente, por meio de uma verificação de senhas que preserve a privacidade ou de um gerenciador de senhas confiável. Nunca insira uma senha, um hash de senha, um código de uso único ou dados de pagamento no campo de busca. A ausência de resultados não é uma garantia absoluta, pois outro endereço, um conjunto de dados de malware não identificado ou outro incidente pode estar relacionado ao seu caso. Se um dispositivo apresentar sinais suspeitos, investigue o dispositivo, além de alterar as credenciais das contas.