Vazamento de dados de QuestionPro

As categorias de dados confirmadas são endereços de e-mail, endereços IP, detalhes do user-agent do navegador e resultados de pesquisas. O risco associado aos resultados depende da pesquisa: comentários comuns sobre produtos podem representar um risco limitado, enquanto respostas que identificam um participante ou revelam preferências privadas podem facilitar fraudes mais direcionadas. Senhas, cartões de pagamento e documentos oficiais de identificação não são categorias confirmadas neste registro, e não se deve presumir que tenham sido expostos. A combinação de um endereço de e-mail, um endereço IP e detalhes do navegador pode ajudar um invasor a preparar convites convincentes para pesquisas, avisos falsos de recompensas e mensagens personalizadas de phishing.

A data registrada, 21 de maio de 2022, é a data do download alegada pela pessoa que afirmou ter obtido o conjunto de dados; a QuestionPro não confirmou publicamente essa data exata nem o método técnico de acesso. O incidente veio à tona com uma alegação envolvendo cerca de 100 GB de dados e mais de 22 milhões de endereços de e-mail únicos. A QuestionPro confirmou que havia recebido uma tentativa de extorsão e declarou que estava investigando o caso com as autoridades policiais, mas seu comunicado inicial não confirmou que um vazamento de dados tivesse ocorrido. Por isso, o conjunto de dados foi inicialmente classificado como incerto. Mais tarde, pessoas que receberam notificações confirmaram seus próprios dados e sua relação com a QuestionPro, o que fundamentou a mudança do status do registro para verificado. O número de 22.229.637 corresponde à contagem de endereços de e-mail únicos no conjunto de dados; como alguns pareciam ter sido gerados pela plataforma, ele não deve ser interpretado como uma contagem exata de pessoas distintas. A verificação do conjunto de dados sustenta sua associação com o serviço, mas não equivale a uma admissão pública de vazamento por parte da empresa.

O conjunto de dados pode incluir não apenas pessoas com contas diretamente na QuestionPro, mas também participantes que responderam a uma pesquisa realizada por outra organização por meio da plataforma. Essa distinção importa: a presença de um endereço no conjunto de dados não prova, por si só, que a pessoa era cliente pagante ou administradora da plataforma. Participantes de pesquisas, funcionários que respondem a pesquisas de engajamento, clientes que preenchem questionários sobre sua experiência, destinatários de convites para pesquisas de mercado e pessoas que enviam formulários devem ficar atentos. Usuários de e-mail corporativo podem ser alvo de pesquisas falsas para funcionários ou de mensagens que se passam por comunicações de sua organização. Os metadados públicos não classificam o conteúdo detalhado de cada resposta, portanto não se deve presumir que todos os registros contenham respostas sobre saúde, finanças ou outros assuntos sensíveis.

Verifique o remetente antes de abrir links em convites inesperados para pesquisas ou em ofertas de recompensas. Se uma mensagem alegar ter sido enviada por um empregador, cliente ou organização de pesquisa, confirme sua autenticidade pelo site oficial da organização ou por um contato conhecido, em vez de usar os dados fornecidos na própria mensagem. Ative a autenticação multifator no seu e-mail e revise as sessões ativas e as regras de encaminhamento. Senhas não são uma categoria de dados confirmada neste incidente, portanto o registro, por si só, não prova que todas as senhas tenham sido expostas; ainda assim, altere sua senha imediatamente se você a inseriu em um formulário suspeito ou notar uma sessão desconhecida. Interrompa o processo se uma pesquisa pedir que você faça um pagamento, forneça um código de segurança ou instale um software de acesso remoto. Usuários corporativos devem comunicar à equipe de segurança pesquisas falsas para funcionários e solicitações incomuns de coleta de dados.

As organizações que criam pesquisas devem evitar coletar dados pessoais desnecessários, oferecer opções de resposta anônima ou pseudônima sempre que possível e excluir os resultados após um período de retenção definido. Os convites devem usar domínios de remetente verificáveis, avisos de privacidade claros e um meio para que os participantes confirmem a solicitação por um canal independente. A autenticação multifator e o acesso baseado em funções devem ser exigidos para contas de administradores, enquanto exportações de grande volume e padrões incomuns de download devem ser monitorados. Os participantes devem fornecer apenas as informações necessárias para a pesquisa e evitar inserir senhas, números de documentos de identificação, dados de pagamento ou informações sobre outras pessoas em campos de texto livre. As organizações devem treinar suas equipes com exemplos de phishing direcionado que usem marcas reais, temas de pesquisas e detalhes técnicos. A minimização de dados, os limites de acesso e os prazos de retenção mais curtos reduzem o impacto duradouro de qualquer exposição futura.

Verifique seu endereço de e-mail no LeakData para saber se ele consta no registro da QuestionPro ou em outro vazamento conhecido. Encontrar seu endereço não significa que sua senha ou seus dados de pagamento estavam presentes neste incidente; isso indica que o endereço constava em um conjunto de dados associado a pesquisas e a dados técnicos de uso. Como alguns endereços podem ter sido gerados pela plataforma, não interprete o resultado como uma contagem exata de pessoas nem como prova de uma conta diretamente na QuestionPro. Se seu endereço for encontrado, revise os convites recentes para pesquisas, os avisos de recompensas e os links de pesquisas, e verifique o remetente por um canal oficial antes de abrir qualquer conteúdo suspeito. Se um endereço corporativo tiver sido afetado, avise a equipe de segurança e verifique se colegas receberam mensagens semelhantes. Mantenha a autenticação multifator e a verificação cuidadosa de links como medidas contínuas de proteção.