Credenciais polonesas

Os tipos de dados observados neste registro são endereços de e-mail e senhas. Como as senhas podem aparecer em texto simples junto aos endereços de e-mail correspondentes, o risco de que terceiros assumam o controle de contas é alto. Campos não verificados de cartões de pagamento, contas bancárias, mensagens privadas, registros de saúde ou informações adicionais de perfil não foram incluídos na lista de classes de dados; apenas os campos respaldados pelas evidências foram mantidos.

Como cada registro pode conter o contexto do site em que a senha é usada, os invasores podem tentar usá-la nos serviços correspondentes. Um endereço de e-mail, por si só, traz o risco de mensagens indesejadas; quando combinado com número de telefone, endereço, IP, data de nascimento, senha, planos de viagem, dados parciais de cartão ou dados do dispositivo, fica mais fácil para um invasor criar mensagens direcionadas ao usuário. A avaliação de risco levou em conta esse efeito combinado.

O escopo foi verificado com 1,2 milhão de endereços de e-mail únicos, com data de maio de 2023. Os campos verificados foram mantidos, enquanto os não confirmados foram excluídos. O incidente não foi combinado com conjuntos de dados de nomes semelhantes, incidentes da mesma empresa ocorridos em outros períodos ou referências incorretas ao setor.

Este registro não corresponde a um vazamento de uma única empresa; ele foi mantido como uma coleção de informações de identidade que poderiam ser usadas em vários serviços. O nome do domínio, o nome da empresa e as informações sobre o setor foram mantidos no contexto mais restrito possível, sem perder a precisão. Nos pontos em que havia incerteza, o indicador de verificação ou o campo de site foi definido de acordo com essa condição; assim, o usuário não recebeu informações ambíguas sobre a responsabilidade de uma marca.

Os grupos de usuários em risco podem incluir pessoas que usam um endereço de e-mail polonês e reutilizam a mesma senha em vários sites. Se você encontrar uma correspondência, também deve avaliar outras contas em que usa o mesmo e-mail, número de telefone, nome de usuário ou padrão de senha, além do serviço em questão.

Você pode não saber qual serviço foi afetado; por isso, todas as senhas reutilizadas devem ser consideradas arriscadas. Se houver um contexto de e-mail corporativo, conta educacional, reserva de hotel, assinatura de telecomunicações, comunidade de jogos, doações a projetos de código aberto ou software de rastreamento, o risco de engenharia social pode aumentar. Detalhes que parecem corretos não são, por si só, um sinal de confiabilidade.

Se você foi afetado, deve criar imediatamente uma senha exclusiva para cada conta em que usa a mesma senha ou uma semelhante. Quando o registro contém um campo de senha, todas as contas que usam a mesma senha devem ser atualizadas; quando não há um campo de senha, o foco deve estar nos riscos relacionados a e-mail, telefone, notificações falsas, privacidade e associação de identidades.

Em vez de clicar nos links da mensagem, digite manualmente o endereço do serviço em questão ou use a entrada salva em um gerenciador de senhas confiável. Não aceite como legítimas mensagens sobre entregas, alertas de conta, recompensas de jogos, suporte, notificações a doadores, reservas de viagem, avisos de segurança ou renovações de assinatura sem verificá-las por um canal independente.

Um gerenciador de senhas, senhas exclusivas e autenticação de dois fatores são a defesa básica contra esse tipo de coleção de credenciais. Você deve revisar regularmente suas contas antigas, campos de perfil desnecessários, nomes de usuário repetidos e informações desatualizadas de telefone e endereço, eliminando o que não for necessário. A regra básica deve ser usar uma senha exclusiva para cada serviço e autenticação de dois fatores sempre que possível.

Para os provedores de serviços, são necessários a minimização de dados, a proteção robusta de senhas, o monitoramento dos registros de acesso, a exclusão de áreas desnecessárias e processos de notificação aos usuários prontos para uso. Os serviços devem impedir campanhas de tentativas de senha com controles de acesso baseados em risco e limitação da frequência de tentativas. Explicar o escopo com precisão também faz parte do trabalho de segurança; informações exageradas ou incompletas podem levar o usuário a tomar a medida errada.

Primeiro, você deve consultar este registro usando seu endereço de e-mail. Se encontrar uma correspondência, deve considerar que os pares de credenciais podem ser testados em diferentes serviços e deixar de usar todas as senhas reutilizadas. Não encontrar uma correspondência não descarta completamente o uso de outro e-mail ou a reutilização anterior de senhas; as contas críticas também devem ser revisadas.

Este registro foi verificado e mantido como sensível; ele não foi descrito como um vazamento de uma única empresa. Nesta organização, os campos de dados foram mantidos como classes canônicas em inglês, a descrição visível ao usuário foi escrita em turco, com redação original, os campos não verificados não foram adicionados e o indicador de sensibilidade foi usado apenas quando respaldado pelo contexto de risco.