Vazamento de dados de Promo

O conjunto de dados verificado continha endereços de email, gênero, endereços IP, nomes e senhas. O comunicado da empresa descreve nome e sobrenome, email, localização aproximada obtida a partir de um endereço IP, gênero e uma senha criptografada, submetida a hash e com salt para uma conta Promo ou Slidely. As senhas não estavam em texto aberto; o registro de referência identifica hashes SHA-256 com salt. Hashes de senha SHA-256 com salt não podem ser lidos diretamente, mas não eliminam o risco de tentativas offline de adivinhar senhas curtas, comuns ou reutilizadas. A combinação de nome, email, gênero, endereço IP e localização aproximada pode facilitar phishing direcionado, avisos falsos sobre assinaturas de serviços de vídeo e abuso dos mecanismos de recuperação de contas. Dados financeiros, cartões de crédito e informações de cobrança não eram armazenados nos servidores da empresa e estão fora do escopo verificado.

A data de referência do incidente é 22 de junho de 2020; a equipe da Promo afirmou que tomou conhecimento do problema em 21 de julho de 2020. A empresa informou que uma vulnerabilidade em um serviço de terceiros causou um vazamento que afetou dados não financeiros de usuários da Promo e da Slidely. Segundo a empresa, a atividade suspeita foi interrompida, o serviço vulnerável foi removido, uma investigação interna foi iniciada e especialistas externos em segurança foram contratados. Posteriormente, os dados foram amplamente compartilhados em um fórum de hackers. Aproximadamente 22 milhões de registros continham 14.610.585 endereços de email únicos; portanto, o total de linhas e o número de endereços únicos afetados são medidas diferentes. A empresa notificou os clientes potencialmente afetados e exigiu que os usuários alterassem a senha da Promo ou da Slidely no próximo login. O comunicado não identifica o produto vulnerável nem a falha técnica, por isso nenhum componente ou técnica de ataque específico deve ser apresentado como confirmado.

O grupo mais diretamente afetado inclui criadores de vídeos, pequenas empresas, equipes de marketing, funcionários de agências e ex-usuários que tinham uma conta Promo.com ou uma conta anterior da Slidely em 2020. As senhas de plataformas sociais externas não foram afetadas no caso de pessoas que acessavam o serviço pelas redes sociais, embora o hash de uma senha da Promo ou da Slidely criada separadamente ainda possa ter aparecido nos dados. A localização aproximada obtida a partir de um endereço IP não corresponde a um endereço residencial preciso e, por si só, não identifica uma pessoa; combinada com nome, email e gênero, ela pode tornar mensagens direcionadas mais convincentes. Quem reutilizou a senha em contas de email principal, redes sociais, compartilhamento de vídeos, publicidade, armazenamento em nuvem ou pagamentos está sujeito a um risco maior de ataques de credential stuffing. Uma conta Slidely ou Promo que não é mais usada ainda pode gerar exposição atualmente por meio de sua senha e de seu email antigos. Funcionários de marketing que usam endereços corporativos devem ter cuidado com convites falsos relacionados a campanhas, renovações e compartilhamento de vídeos.

Se sua conta Promo ainda estiver ativa, acesse diretamente o site oficial, defina uma senha exclusiva e ative a autenticação multifator, se houver suporte. Se você usou a mesma senha da Promo ou da Slidely, ou uma senha semelhante, em outros serviços em 2020, troque imediatamente as senhas dessas contas, priorizando o email principal, as redes sociais e os serviços de armazenamento em nuvem, publicidade e pagamentos. Use um gerenciador de senhas para gerar uma senha longa e aleatória para cada conta. Revise as sessões da Promo, as contas de redes sociais conectadas, o email de recuperação e as informações do perfil; remova alterações que você não reconhece. Ao receber mensagens sobre redefinição de senha, compartilhamento de vídeos, renovação de assinatura ou problemas de pagamento, examine o domínio do remetente e o destino do link. Acesse promo.com por conta própria em vez de fazer login por meio de uma mensagem e nunca revele um código de uso único. Os dados financeiros estão fora do escopo da exposição, mas cobranças falsas podem usar informações do perfil vazado; por isso, confirme as solicitações de pagamento por um meio independente.

Uma proteção duradoura não se resume à troca da senha da Promo. A reutilização de senhas permite que um invasor que descubra a senha correspondente a um hash protegido teste a mesma credencial em outros serviços; por isso, use uma senha exclusiva em cada um deles. Trate o email como o ponto central de recuperação das outras contas e proteja-o com uma senha forte e, de preferência, autenticação por chave de segurança física. As equipes de marketing devem usar credenciais distintas para contas de criação de vídeos, redes sociais, publicidade, armazenamento em nuvem e pagamentos, além de evitar o compartilhamento de senhas pessoais em contas da equipe. Encerre contas Slidely ou Promo que não são mais usadas, revise as permissões dos aplicativos conectados e remova prontamente o acesso de quem deixar a equipe. Reduza ao mínimo os campos desnecessários do perfil e ative alertas de login. O monitoramento contínuo de vazamentos e a atenção ao phishing relacionado a campanhas de vídeo podem revelar usos indevidos que surjam muito tempo após o incidente.

Uma correspondência com o vazamento da Promo encontrada pelo LeakData significa que o endereço de email aparece no conjunto de dados verificado do incidente. Isso não demonstra que a conta continua ativa, que todas as cinco categorias de dados estavam presentes no seu registro ou que a senha correspondente ao hash foi descoberta. Se houver uma correspondência, procure se lembrar do email e dos possíveis padrões de senha que você usou na Promo ou na Slidely em 2020; nunca digite uma senha real em um campo de busca de vazamentos. Identifique contas atuais que possam usar uma senha semelhante, substitua essas credenciais por senhas exclusivas, ative a autenticação multifator e revise o histórico de sessões. A ausência de correspondência não é uma garantia absoluta, pois você pode ter usado outro email, um registro pode estar ausente ou a senha pode ter aparecido em outro vazamento. Continue monitorando vazamentos, fique atento a alertas inesperados de login e redefinição de senha e verifique mensagens suspeitas sobre assinaturas ou suporte por canais oficiais que você acessar de forma independente.