Vazamento de dados da Rush My Passport em 2020

Os campos presentes no registro da Rush My Passport são altamente sensíveis devido ao contexto de solicitação de passaportes e serviços de documentação. O e-mail e o telefone permitem abordar o usuário diretamente; o nome completo e a data de nascimento podem ser usados indevidamente em perguntas de verificação de identidade; e o endereço físico pode tornar mais convincentes mensagens falsas sobre entrega de documentos, atualizações de agendamento, orientações de entrega ou conclusão de solicitações. Quando esses campos estão presentes em conjunto, os invasores podem preparar mensagens que não apenas realizem phishing genérico, mas também deem a impressão de que a pessoa está de fato passando por um processo de documentação.

O principal risco neste caso é que o contexto de serviços de passaporte pode levar o usuário a tomar uma decisão precipitada. Os invasores podem enviar links falsos usando assuntos como documentos pendentes, atrasos na entrega, mudanças de agendamento, taxas de solicitação, verificação de identidade ou confirmação de endereço. Se a mensagem contiver informações reais de nome, telefone ou endereço, o usuário poderá considerá-la autêntica com mais facilidade. Por isso, os usuários da Rush My Passport devem verificar os e-mails e as mensagens SMS recebidos pelo domínio oficial que já conhecem ou por um canal de comunicação confiável utilizado anteriormente, em vez de usar o link recebido.

Para os usuários, a prioridade é lidar com mais cuidado com os pedidos de verificação recebidos por e-mail e telefone. Se o mesmo endereço de e-mail também for usado em contas de serviços financeiros, viagens, serviços públicos, transporte de cargas ou saúde, esse cadastro também poderá facilitar mensagens de engenharia social em diferentes áreas. Data de nascimento, endereço, situação de documentos ou informações de pagamento não devem ser compartilhados em ligações telefônicas. Mesmo que as informações pessoais pareçam já ser conhecidas, instituições legítimas não devem solicitar dados completos de identificação nem instruções de pagamento em ligações inesperadas.

Para as organizações, este registro mostra que as informações de contato usadas pelos funcionários em documentos pessoais e serviços de viagem também podem afetar a segurança corporativa. Quando o nome, o telefone, a data de nascimento e o endereço de um funcionário ficam visíveis em um serviço externo, os invasores podem preparar mensagens que imitem processos internos, como os de recursos humanos, vistos, viagens, envios ou prestação de contas de despesas. As equipes de segurança devem avaliar esses incidentes não apenas como vazamentos de senhas, mas também como riscos relacionados à autenticação e à engenharia social.

Após esta última correção, o registro do vazamento de dados da Rush My Passport ficou limitado aos campos de e-mail, nome completo, data de nascimento, endereço físico e número de telefone. Essa delimitação é importante para não induzir o usuário ao erro: números de passaporte, imagens de documentos ou informações de cartões de pagamento não devem ser adicionados ao registro sem respaldo explícito. A forma mais adequada de proteção para os usuários é verificar, por um canal independente, mensagens que pareçam vir de serviços de documentação ou entrega, ou tratar de agendamentos, verificação de endereço ou pedidos de pagamento; ativar a autenticação multifator na conta de e-mail; e não compartilhar credenciais por telefone.

A correção feita neste registro é especialmente importante para esclarecer os nomes dos campos de dados. O risco para o usuário não decorre de um campo documental mais específico, como o número do passaporte, mas de informações de identificação e contato que dão credibilidade ao processo de solicitação e entrega. Quando usados em conjunto, nome, data de nascimento, endereço, número de telefone e e-mail podem fazer com que mensagens falsas sobre agendamentos para documentação, confirmações de entrega ou conclusão de solicitações pareçam mais confiáveis. Por isso, os usuários devem conferir manualmente o nome do domínio antes de clicar em um link, evitar confirmar informações pessoais em ligações ou mensagens recebidas e reforçar a proteção do acesso ao e-mail para manter a segurança da conta.

Esta página foi atualizada para que os usuários que pesquisam sobre o vazamento de dados da Rush My Passport possam entender, sem exageros, quais de suas informações podem estar em risco. As categorias de dados estão limitadas a endereços de e-mail, nomes e sobrenomes, datas de nascimento, endereços físicos e números de telefone. Manter esse limite permite priorizar corretamente os alertas de segurança: antes de mudar suas senhas, os usuários devem se concentrar em phishing, notificações falsas de entrega, fraudes envolvendo serviços de documentação e tentativas de solicitar informações por telefone.