Suposta exposição de dados de Pemiblanc

Os principais campos do conjunto de dados Pemiblanc são endereços de e-mail e senhas. Um endereço de e-mail, por si só, pode ser usado para enviar spam, mensagens de phishing, alertas falsos de login e mensagens de redefinição de conta. O campo de senha, porém, representa o risco mais crítico: se a mesma senha for usada em vários serviços, invasores podem tentar tomar o controle de contas em diferentes sites por meio de tentativas automatizadas de login. Por isso, a lista não é apenas um vazamento de informações de contato, mas uma compilação de credenciais que traz um risco direto de acesso às contas.

As categorias de dados não incluem cartões de pagamento, documentos oficiais de identificação, mensagens privadas, informações de saúde, endereços físicos ou detalhes de contas financeiras. A avaliação de risco deve se basear nos pares de e-mail e senha. Como a maioria dos usuários não consegue saber com clareza de qual serviço vieram as senhas, todas as contas importantes em que se usa a mesma senha ou uma senha semelhante ficam em risco.

Para o Pemiblanc, devem ser considerados 2 de abril de 2018 como a data do incidente, 9 de julho de 2018 como a data de inclusão do registro e 110.964.206 como o número de contas afetadas. Embora o domínio esteja registrado como pemiblanc.com, o incidente não deve ser descrito como um único vazamento extraído da base de dados de clientes de uma marca. As evidências disponíveis mostram que a lista é uma compilação de pares de e-mail e senha provenientes de diversos vazamentos, que poderia ser usada em ataques de tomada de contas.

Os registros da categoria não verificada devem ser reprovados. Essa classificação não significa que a lista não contenha dados pessoais reais; ela apenas exige uma abordagem mais cautelosa, pois a origem e a exatidão de todas as linhas não podem ser comprovadas de forma definitiva. Por isso, o texto se concentra nas medidas de segurança que você deve tomar, sem afirmar uma origem definitiva nem atribuir a responsabilidade a uma única empresa.

O maior risco recai sobre pessoas que reutilizam o mesmo e-mail e a mesma senha em vários sites. Se a mesma senha foi usada em contas antigas de fóruns, jogos, compras, redes sociais ou e-mail, esta lista dá aos invasores uma vantagem para fazer tentativas rápidas. Funcionários que se cadastram em serviços pessoais com seu endereço de e-mail corporativo também estão em risco, pois a reutilização de senhas aumenta a probabilidade de ataques a contas de trabalho, serviços em nuvem ou portais internos.

Senhas que não são alteradas há muito tempo, contas familiares compartilhadas, credenciais de login criadas com palavras fáceis de lembrar sem o uso de um gerenciador de senhas e contas com a autenticação de dois fatores desativada são mais vulneráveis. Mesmo que a lista esteja desatualizada, o risco não é considerado encerrado, pois senhas reutilizadas podem ser testadas em diferentes serviços até mesmo anos depois.

Se forem encontradas correspondências com seus dados no Pemiblanc, você deve primeiro identificar todas as contas que usam a mesma senha e escolher uma senha forte e exclusiva para cada uma. Dê prioridade especialmente às contas de e-mail, aos serviços bancários e de pagamento, às redes sociais, aos sites de compras, ao armazenamento em nuvem e às contas de trabalho. Considere trocar a senha não apenas no serviço associado ao Pemiblanc, mas em todas as contas em que a mesma senha é reutilizada.

Ative a verificação em duas etapas sempre que possível, revise as sessões recentes e os dispositivos conectados e encerre as sessões que você não reconhecer. Confira o endereço e o número de telefone de recuperação da conta de e-mail e preste atenção a mensagens inesperadas de redefinição de senha. Usar um gerenciador de senhas facilita o armazenamento de senhas longas e exclusivas para cada serviço.

No longo prazo, a defesa básica é deixar de reutilizar senhas por completo e usar verificação adicional nas contas importantes. Ao escolher uma senha exclusiva para cada conta, o impacto das listas usadas em ataques de reutilização de credenciais diminui consideravelmente: um vazamento antigo de um serviço não se estende a outras contas. Você deve, sobretudo, tratar sua conta de e-mail como o principal ponto de proteção das demais contas, manter uma senha exclusiva para ela e tornar obrigatória a verificação adicional.

Uma medida adicional para as organizações é monitorar a presença dos e-mails dos funcionários em listas conhecidas de credenciais, adotar políticas que reduzam a reutilização de senhas e examinar o comportamento das sessões em contas de alto risco. Como as listas antigas de senhas não desapareceram por completo, os vazamentos anteriores devem ser considerados não apenas dados históricos, mas também um sinal relevante para a segurança atual das contas.

A consulta no LeakData mostra se o endereço de e-mail pesquisado está presente no conjunto de dados Pemiblanc. Um resultado positivo indica que o endereço de e-mail aparece junto com uma senha em uma lista usada para ataques de reutilização de credenciais; porém, isso, por si só, não comprova de qual serviço a senha veio nem a origem exata de cada linha da lista. Diante dessa limitação, você deve agir com cautela, mas rapidamente.

Um resultado negativo significa apenas que nenhuma correspondência foi encontrada neste conjunto de dados; ele não elimina a possibilidade de seus dados aparecerem em outros vazamentos. Se você receber um resultado positivo, priorize a troca de senhas em todas as contas nas quais usa a mesma senha, a ativação da autenticação de dois fatores, o monitoramento de sessões e o uso de um gerenciador de senhas. A abordagem mais adequada é deixar de usar todas as senhas antigas e reutilizadas e adotar credenciais de login exclusivas para cada conta.