Suposta exposição de dados de Read Novel

Os campos confirmados no conjunto de dados são endereços de e-mail, nomes de usuário, números de telefone, gênero e senhas armazenadas como hashes MD5 com salt. O uso de salt dificulta que senhas idênticas produzam hashes idênticos, mas o MD5 é rápido e fraco segundo os padrões modernos de armazenamento de senhas. Por isso, senhas curtas, comuns ou reutilizadas podem ser recuperadas por meio de tentativas de adivinhação realizadas off-line. A combinação de endereço de e-mail, nome de usuário e número de telefone facilita a associação entre contas, o envio de mensagens de texto direcionadas, o phishing e o uso indevido dos processos de redefinição de senha. O gênero, por si só, não permite acessar uma conta, mas pode fornecer contexto para fraudes personalizadas. Como não foi possível verificar de forma conclusiva que o conjunto completo de dados se originou dos sistemas da Read Novel, este registro não deve ser apresentado como um vazamento confirmado da empresa. Ainda assim, as evidências de dados de contas reais justificam eliminar a reutilização de senhas como medida de precaução.

O conjunto de dados foi associado a um suposto evento em maio de 2019. A data de 1 de maio exibida neste registro é uma data normalizada com precisão apenas de mês; ela não deve ser interpretada como o dia confirmado da intrusão, do acesso inicial ou da retirada dos dados. O registro foi posteriormente incluído em um catálogo público de vazamentos em 2022. A análise considerou os campos e o volume de contas suficientemente consistentes para representar um risco de segurança, mas não foi localizado nenhum comunicado confiável sobre o incidente emitido pela Read Novel ou por sua proprietária, Yuewen Group. Não foi possível verificar o responsável, o método de acesso, os sistemas afetados ou a data de descoberta, e o registro não faz afirmações sobre esses pontos. O detalhe técnico confiável é que o campo de senha continha hashes MD5 com salt. O registro mantém visíveis as evidências de risco real para as credenciais, ao mesmo tempo que preserva a incerteza quanto à atribuição à empresa e mantém seu status de não verificado.

As pessoas que usaram contas no readnovel.com ou em serviços relacionados de literatura on-line da Read Novel em 2019 ou antes são o principal grupo de risco. Mesmo que um endereço de e-mail ou número de telefone antigo não esteja mais ativo, uma senha reutilizada em um serviço atual pode manter o risco. A combinação de nome de usuário e e-mail pode ajudar a localizar contas em outros fóruns, aplicativos de leitura ou plataformas sociais, enquanto um número de telefone pode ser usado em mensagens falsas de renovação de assinatura, solicitações de códigos de verificação, ofertas de conteúdo premium ou alertas de pagamento. Senhas fracas estão especialmente expostas, pois hashes MD5 podem ser testados rapidamente. Se você não se lembra de ter criado uma conta na Read Novel, uma correspondência não comprova essa atribuição; ainda pode se tratar de um cadastro esquecido, da reutilização do mesmo nome de usuário em outro serviço ou da identificação incorreta de um conjunto de dados. A incerteza não elimina a necessidade de precauções, mas impede uma descrição definitiva do incidente.

Se você se lembra da senha usada com o e-mail ou nome de usuário correspondente por volta de 2019, substitua essa senha, ou qualquer senha semelhante, em todas as contas atuais. Não digite a senha antiga em um formulário de consulta de vazamentos ou em um site desconhecido; use a página oficial de redefinição de senha de cada serviço. Crie uma senha longa e exclusiva para cada conta e ative a autenticação multifator, começando pela conta de e-mail. Revise as sessões ativas do e-mail, os endereços de recuperação e os dispositivos confiáveis e encerre os acessos que você não reconhecer. Se o número de telefone ainda estiver ativo, considere configurar um PIN adicional junto à operadora e alertas para trocas não autorizadas de SIM. Não siga links recebidos que pareçam oferecer conteúdo premium da Read Novel, renovação de assinatura ou verificação de conta; acesse o site conhecido ou abra o aplicativo por conta própria. A exposição de um número de telefone não comprova o comprometimento do dispositivo e, portanto, não deve ser usada como evidência de malware sem outros indicadores.

Um gerenciador de senhas, credenciais geradas aleatoriamente para cada serviço e um segundo fator forte na conta de e-mail principal reduzem o risco persistente decorrente de credenciais antigas. Encerre periodicamente contas de leitura, fóruns e comunidades que você não usa e verifique se os perfis mantêm informações desnecessárias de telefone ou dados demográficos. Reutilizar o mesmo nome de usuário em muitos serviços facilita a associação entre contas, por isso pode ser adequado usar identificadores diferentes em contas sensíveis e públicas. Os provedores de serviços devem evitar hashes rápidos, como MD5, usar funções modernas e lentas de derivação de senhas com salts exclusivos, proteger as sessões e limitar a frequência de tentativas incomuns de login. Em conjuntos de dados de origem incerta, a quantidade de contas, os campos expostos, o formato das senhas, a atribuição à empresa e o nível de verificação devem permanecer como propriedades separadas. Se surgir uma divulgação da empresa ou uma evidência técnica mais sólida, o registro deverá ser reavaliado, em vez de passar a ser tratado como verificado sem que isso seja informado.

Uma correspondência pode indicar que um endereço de e-mail aparece no conjunto de dados de 22.424.472 contas atribuído à Read Novel; isso não comprova que a pessoa criou uma conta no readnovel.com nem que os dados vieram diretamente desses sistemas. Considere como o e-mail, o nome de usuário e o número de telefone correspondentes eram usados antes de 2019 e determine se a senha daquele período foi reutilizada em outros serviços. Nunca insira a própria senha em um formulário de consulta; faça apenas alterações seguras de senha. Mesmo que a senha antiga não esteja mais ativa, revise o histórico de sessões e as opções de recuperação da conta de e-mail. O número 22.424.472 é a contagem de contas do catálogo, e não se deve presumir que todas as contas contenham os cinco campos. Como a atribuição permanece não verificada, não se deve apresentar aos usuários um dia, método ou responsável definitivo pela intrusão. Gerencie o risco considerando o campo de senha com hashes MD5 com salt e o possível uso indevido das informações de contato.