Vazamento de dados do piZap em 2017

Os tipos de dados verificados são endereços de e-mail, informações de gênero, localizações geográficas, nomes, senhas, perfis em redes sociais, nomes de usuário e atividades no site. Essa combinação pode ajudar invasores não apenas a tentar senhas, mas também a preparar mensagens de phishing que pareçam mais pessoais. Campos como informações de perfil em um serviço de edição de fotos, links de redes sociais e nomes de usuário facilitam a identificação da mesma pessoa em diferentes ambientes online.

O campo de senha é o mais crítico para a segurança da conta. Os hashes SHA-1 não são considerados um padrão forte para o armazenamento de senhas; senhas fracas ou reutilizadas são previsíveis. Se a mesma senha for usada em contas de e-mail, redes sociais, compras, jogos ou serviços de nuvem, o risco se torna muito maior. Neste caso, dados de cartão de pagamento, número de identificação oficial ou conteúdo de mensagens privadas não devem ser incluídos entre os tipos de dados verificados. A avaliação de risco deve se basear nas credenciais, nas informações de perfil e na possibilidade de engenharia social direcionada.

Considera-se 7 de dezembro de 2017 como a data do incidente, e 16 de julho de 2019 como a data verificada de inclusão. O alcance se limita a 41.817.893 contas únicas. A venda posterior dos dados, junto com outras coleções de vazamentos, prolongou o período de descoberta e visibilidade do incidente. Por isso, você pode encontrar esse resultado mesmo anos após a data do vazamento. Isso não significa que os dados tenham acabado de vazar, mas que um incidente antigo foi verificado e ganhou visibilidade posteriormente.

O domínio foi verificado como pizap.com. O campo de país foi deixado em branco porque não há uma verificação confiável e consistente do país da empresa. O registro está marcado como verificado, e o indicador de dados sensíveis está desativado, pois os campos verificados não se enquadram em categorias especiais, como informações financeiras ou identificação oficial. Ainda assim, a combinação de perfil em redes sociais, localização geográfica e dados de senha representa um alto risco de tomada de controle de contas e fraude direcionada.

As pessoas que também usam a senha da conta do piZap em outros serviços estão no grupo de maior risco. Uma conta antiga de edição de fotos pode parecer pouco importante. No entanto, se a mesma senha ainda for válida em uma conta mais crítica, invasores podem usar essa informação. Para quem acessou o serviço com um perfil de rede social, o link do perfil pode facilitar a identificação da mesma pessoa em diferentes plataformas.

O risco de mensagens direcionadas aumenta para quem usa o mesmo nome de usuário em trabalhos criativos, conteúdos de redes sociais ou comunidades online. Essa associação entre nome de usuário e e-mail pode ser explorada em mensagens com temas como falsos alertas de segurança da conta, notificações de acesso a fotos, verificação de conexão com redes sociais ou renovação de senha. Se houver usuários cadastrados com um endereço de e-mail corporativo, também é possível que a mesma senha seja testada em sistemas da empresa.

O primeiro passo é verificar se a senha antiga que você pode ter usado na conta do piZap também é usada em outras contas. Se a mesma senha, ou uma semelhante, ainda for válida em algum serviço, troque-a imediatamente por uma senha forte e exclusiva. Priorize contas de e-mail, redes sociais, armazenamento em nuvem, pagamentos e trabalho. Usar um gerenciador de senhas reduz o risco de repetição.

Ative a autenticação multifator em todas as contas críticas que ofereçam esse recurso. Se você acessou o serviço por uma conta de rede social, revise também os aplicativos conectados e as permissões concedidas a terceiros. Encerre sessões ativas desconhecidas, examine com cuidado mensagens inesperadas de redefinição de senha e não clique diretamente em links suspeitos. Tenha cautela também com mensagens falsas relacionadas ao piZap ou à edição de fotos.

A longo prazo, é necessário eliminar completamente a reutilização de senhas. Hashes de senhas de vazamentos anteriores podem ser quebrados ou combinados com outros conjuntos de dados mesmo anos depois. Por isso, trocar a senha uma única vez não basta: usar uma senha exclusiva para cada serviço e verificar regularmente as sessões deve se tornar um hábito permanente. Para contas críticas, dê preferência a chaves de acesso ou chaves de segurança físicas, se essas opções estiverem disponíveis.

Links de redes sociais e nomes de usuário também devem fazer parte do plano de segurança. Verifique regularmente quais informações você compartilhou em contas antigas, quais serviços estão vinculados às suas contas de redes sociais e a quais aplicativos você concedeu permissões. Quando informações de perfil, e-mail e dados de senha vazam juntos, fica mais fácil para invasores criar mensagens convincentes. Por isso, a segurança não deve se limitar à troca de senhas.

Ao encontrar o resultado do piZap no LeakData, tente primeiro se lembrar do endereço de e-mail, do nome de usuário e da senha que você usava nesse serviço. Verifique se a mesma senha é usada em outras contas e elimine todas as repetições. Se você usava o acesso pelas redes sociais, confira também, separadamente, as permissões das contas vinculadas e os acessos de aplicativos de terceiros.

A medida mais adequada é usar senhas exclusivas em todas as contas críticas, começando pela conta de e-mail, ativar a autenticação multifator e encerrar sessões que você não reconhece. Você também pode avaliar seu risco geral com mais precisão ao verificar quais tipos de dados apareceram associados ao mesmo endereço de e-mail em outros vazamentos. Essa abordagem ajuda a entender por que um vazamento de uma plataforma antiga de edição de fotos ainda pode representar um risco de segurança hoje e a lidar com esse risco.