Vazamento de dados de Pi-hole

Os tipos de dados presentes neste registro são endereços de e-mail e nomes. Os campos de senha, cartão de pagamento ou valor da doação não foram verificados. Campos não verificados de cartão de pagamento, conta bancária, mensagem privada, registro de saúde ou informações adicionais de perfil não foram incluídos na lista de categorias de dados; apenas os campos respaldados pelas evidências foram mantidos.

Os nomes e endereços de e-mail dos doadores podem ser usados em recibos de doação falsos, comunicados sobre o projeto ou mensagens de atualização de segurança. Um endereço de e-mail, por si só, traz o risco de mensagens indesejadas; quando combinado com número de telefone, endereço, IP, data de nascimento, senha, planos de viagem, dados parciais de cartão ou dados de dispositivos, facilita a criação de uma mensagem personalizada para o usuário por um invasor. A avaliação de risco foi feita com base nesse efeito combinado.

O escopo foi confirmado com os 29.926 registros de doadores datados de julho de 2025. As informações verificadas foram mantidas, enquanto as não confirmadas ficaram de fora. O incidente não foi combinado com conjuntos de dados de nomes semelhantes, incidentes da mesma empresa em outros períodos ou referências incorretas ao setor.

O registro se limita ao domínio pi-hole.net e à lista de doadores; os dados dos dispositivos de rede dos usuários não foram apresentados como se tivessem sido vazados. O nome de domínio, o nome da empresa e as informações sobre o setor foram mantidos no contexto mais restrito possível, sem perder a precisão. Nos pontos de incerteza, os sinalizadores de verificação ou os domínios dos sites foram definidos de acordo com essa condição; assim, não foi apresentada aos usuários uma responsabilidade da marca que não estivesse confirmada.

Os grupos de usuários em risco podem incluir pessoas que doam ao projeto Pi-hole ou informam nome e e-mail no formulário de doação. Se você se enquadra nesse perfil, avalie também outras contas nas quais usa o mesmo e-mail, número de telefone, nome de usuário ou padrão de senha fora do serviço em questão.

Usuários técnicos podem ser alvos mais fáceis de links falsos de atualização de segurança ou recibos de doação. O risco de engenharia social pode aumentar quando há um contexto envolvendo e-mail corporativo, conta de treinamento, reserva de hotel, assinatura de serviços de telecomunicações, comunidade de jogos, doação a projetos de código aberto ou software de monitoramento. Detalhes que parecem corretos não são, por si só, uma garantia de confiabilidade.

Se você foi afetado, confirme no site oficial a autenticidade de recibos de doação e mensagens de atualização ou de notificação de segurança recebidos em nome do Pi-hole. Em registros com um campo de senha, todas as contas que usam a mesma senha devem ser atualizadas; em registros sem esse campo, o foco deve estar nos riscos relacionados a e-mail, telefone, notificações falsas, privacidade e cruzamento de informações de identidade.

Em vez de clicar nos links da mensagem, digite manualmente o endereço do serviço em questão ou use o registro salvo em um gerenciador de senhas confiável. Não confie em mensagens sobre entregas, alertas de conta, recompensas em jogos, suporte, notificações a doadores, reservas de viagem, notificações de segurança ou renovações de assinatura sem verificá-las por um canal independente.

Usar um e-mail separado para doações a projetos de código aberto e não armazenar informações de pagamento reduz o risco. Revise regularmente suas contas antigas, campos de perfil desnecessários, nomes de usuário reutilizados e informações antigas de telefone e endereço, removendo o que não for mais necessário. Uma senha exclusiva para cada serviço e a verificação em duas etapas, quando possível, devem ser uma regra básica.

Para os prestadores de serviços, é necessário garantir a minimização de dados, a proteção robusta de senhas, o monitoramento dos registros de acesso, a exclusão de campos desnecessários e a preparação dos processos de notificação aos usuários. Plugins de doação e formulários de terceiros exigem auditorias regulares de segurança. Explicar o escopo com precisão também faz parte do trabalho de segurança; informações exageradas ou incompletas podem levar o usuário a tomar medidas inadequadas.

Neste registro, você deve fazer a consulta principalmente com seu endereço de e-mail. Se houver uma correspondência, considere que seu nome e e-mail podem ser usados em mensagens relacionadas ao projeto; é importante observar que dados de dispositivos ou de DNS não estão incluídos neste registro. A ausência de correspondência não descarta completamente o uso de outro e-mail ou a reutilização de uma senha antiga; contas críticas também devem ser revisadas separadamente.

Este registro permaneceu verificado; o escopo foi limitado aos dados de contato dos doadores. Nesta configuração, os campos de dados foram mantidos como categorias canônicas em inglês, a descrição exibida ao usuário foi escrita em turco, com redação original, campos não verificados não foram acrescentados e o sinalizador de dados sensíveis foi usado apenas quando respaldado pelo contexto de risco.