Vazamento de dados de ParkMobile

As categorias de dados confirmadas na validação são endereços de e-mail, nomes, números de telefone, placas de veículos, hashes bcrypt de senhas, endereços físicos e detalhes dos veículos. Os endereços físicos estavam presentes apenas para uma pequena porcentagem dos usuários, enquanto os detalhes dos veículos incluíam um apelido quando ele havia sido informado. As senhas não estavam em texto simples; os valores expostos eram hashes bcrypt aos quais havia sido aplicado um salt. O bcrypt torna mais lentas as tentativas de adivinhar senhas offline, mas não elimina os riscos de senhas fracas ou curtas. A combinação de e-mail, telefone, placa e informações do veículo pode tornar mais convincentes mensagens falsas sobre multas de estacionamento, pagamentos, registro de veículos ou suporte. A investigação oficial informou que os dados de cartão de crédito e o histórico de transações de estacionamento não foram acessados e que o serviço não coletava números de Social Security, números de carteira de motorista ou datas de nascimento.

A ParkMobile informou que tomou conhecimento, em março de 2021, de um incidente de segurança cibernética ligado a uma vulnerabilidade em um software de terceiros e que eliminou rapidamente a falha. A empresa publicou um comunicado inicial em 26 de março, contratou especialistas externos em segurança e notificou as autoridades policiais. A investigação posterior confirmou o acesso a informações básicas dos usuários e a hashes de senhas. Dados de cerca de 21 milhões de clientes foram posteriormente oferecidos em um fórum criminoso e depois amplamente redistribuídos; o conjunto de dados validado contém 20.949.825 registros de contas únicas. Os campos de senha continham hashes bcrypt, e a empresa afirmou que os protegia com tecnologias de hashing e aplicação de salt. Uma análise independente identificou endereços postais em alguns registros e placas associadas a vários veículos.

As pessoas que criaram uma conta antes de março de 2021 pela ParkMobile ou por um aplicativo de marca branca com a marca de uma cidade ou operadora são diretamente afetadas. Quem reutilizou a mesma senha em outros serviços, escolheu uma senha curta ou previsível ou deixou a autenticação multifator desativada no e-mail corre maior risco de ter suas contas tomadas por terceiros. A placa e o apelido de um veículo fornecem um contexto convincente para mensagens falsas sobre multas de estacionamento, prorrogação do tempo de estacionamento ou reembolsos. Usuários cujos números de telefone estavam presentes podem receber tentativas de phishing por mensagens de texto ou chamadas de voz, enquanto o grupo menor com endereços postais pode receber faturas fraudulentas ou correspondência física. Uma placa, por si só, não revela a localização de um veículo em tempo real, e o histórico de transações de estacionamento não estava entre os dados acessados. Mesmo quando um nome ou endereço não está presente, outros campos validados ainda podem ter sido expostos.

Se você reutilizou em outros serviços a senha que usava na ParkMobile em 2021, altere imediatamente as senhas dessas contas. Gere uma senha longa e exclusiva para cada serviço, armazene-a em um gerenciador de senhas confiável e ative a autenticação multifator, especialmente no e-mail. Se a conta da ParkMobile ainda estiver ativa, use o aplicativo ou domínio oficial para revisar o método atual de login e os dados de recuperação; não entre na conta por um link recebido em uma mensagem. Confira no aplicativo as multas de estacionamento, solicitações de prorrogação do tempo de estacionamento, pedidos de verificação do veículo, atualizações de placa ou avisos de reembolso que você não esperava receber. Embora os dados de cartão não tenham sido acessados neste incidente, criminosos ainda podem usar o ocorrido para direcionar usuários a páginas falsas de pagamento; não forneça códigos de segurança nem senhas sem fazer uma verificação independente. Se você notar acessos suspeitos, encerre as sessões ativas e substitua as senhas criadas a partir do mesmo padrão.

Usar uma senha diferente para cada serviço online impede que a descoberta da senha correspondente a um hash bcrypt permita o acesso a outras contas. Um gerenciador de senhas torna viável o uso de senhas longas e aleatórias, enquanto a autenticação multifator impede que uma senha exposta seja suficiente por si só. Mantenha as opções de recuperação do e-mail atualizadas, ative alertas de novas sessões e revise regras de encaminhamento que você não reconhece. Remova veículos que não usa mais, placas antigas e dados de contato desatualizados das contas de serviços de mobilidade e encerre as contas de que não precisa mais. Os serviços de estacionamento e transporte devem manter um inventário dos componentes de terceiros, acompanhar as correções e limitar o acesso, além de monitorar exportações de grande volume e consultas incomuns. Os sistemas de senhas devem usar um salt exclusivo para cada usuário, parâmetros de custo adequados e uma política para recalcular os hashes à medida que o hardware evolui.

Consulte seu endereço de e-mail no LeakData para saber se ele corresponde ao registro da ParkMobile ou a outro vazamento conhecido. Uma correspondência não significa que seu cartão de crédito ou histórico de estacionamento foi exposto; ela indica que o endereço apareceu no conjunto validado de dados de contas. Defina suas medidas com base nas sete categorias de dados listadas e não presuma a exposição de campos excluídos pela investigação oficial. Se houver uma correspondência, verifique se a senha usada em 2021 foi reutilizada em outros serviços e proteja primeiro o e-mail e as contas vinculadas a pagamentos. Revise mensagens recentes sobre estacionamento, placas, reembolsos e multas e abra o aplicativo oficial em vez de seguir os links contidos nessas mensagens. Mantenha o uso de senhas exclusivas, a autenticação multifator e a verificação independente de links de pagamento suspeitos como medidas contínuas de proteção.