Vazamento de dados de Shadi.com

Os tipos de dados listados neste incidente são endereços de e-mail e senhas. Quando um endereço de e-mail é associado à participação em um serviço específico de relacionamento ou casamento, ele pode ser usado para pressão social, chantagem direcionada e tentativas de tomada de controle de contas. A presença desses campos em conjunto pode representar um risco maior do que um vazamento apenas de e-mails, pois invasores podem combinar indícios de comunicação, identidade, localização, compras ou acesso a contas de uma mesma pessoa para criar tentativas de phishing mais convincentes.

A informação de que as senhas estão associadas às suas versões em MD5 e aos equivalentes em texto simples representa um risco direto para quem usa a mesma senha em outros serviços. Você deve prestar atenção especial a tentativas de fraude que cruzem as senhas usadas em diferentes serviços com seu endereço de e-mail, números de telefone e informações de endereço. Mesmo quando um vazamento não contém senhas, campos como e-mail, telefone, nome completo ou endereço físico são valiosos para publicidade direcionada, engenharia social, notificações falsas e uso indevido dos mecanismos de recuperação de contas.

O registro abrange aproximadamente 2 milhões de contas associadas ao domínio Shadi.com e foi classificado como sensível devido ao contexto de participação no serviço. Por isso, mantemos o registro restrito aos campos de dados disponíveis, sem apresentá-lo como uma declaração definitiva da empresa. O incidente se enquadra na categoria de registros verificados. A delimitação do escopo é importante: não se deve causar alarme desnecessário aos usuários em relação a tipos de dados não listados, mas o impacto combinado dos campos listados não deve ser subestimado.

Este registro não lista mensagens de perfil, fotos, localização ou informações de pagamento; ele se limita aos campos de descrição, e-mail e senha. Nos casos em que há possibilidade de duplicidade ou atribuição incorreta, também foram conferidas as informações de título, nome de domínio, país e setor. Plataformas diferentes com nomes semelhantes ou serviços distintos que atuam no mesmo setor não foram agrupados como um único evento neste registro.

Estão em risco os membros do Shadi.com, as pessoas que abrem contas em diferentes serviços sociais ou de relacionamento com o mesmo endereço de e-mail e os usuários que reutilizam senhas. O principal risco para esse grupo é que os campos vazados possam estar associados à segurança das contas usadas no dia a dia. Se você usa o mesmo endereço de e-mail em diferentes serviços de compras, jogos, comunidades, relacionamento, negócios ou finanças, invasores podem usar essa informação para criar mensagens que pareçam vir do serviço legítimo.

Devido à natureza do serviço, mensagens falsas de relacionamento, solicitações de verificação de conta ou mensagens com ameaças que usem informações privadas sobre a participação no serviço podem parecer mais convincentes. Endereços de e-mail com domínios corporativos também podem ser usados para direcionar ataques a contas empresariais. Para usuários individuais, campos como número de telefone, endereço, data de nascimento, foto de perfil e informações de compras ou dispositivos podem levar a consequências como tomada de controle de contas, phishing, assédio, rastreamento não autorizado e riscos à reputação.

Se você foi afetado, altere a senha usada no Shadi.com e em todas as contas nas quais ela foi reutilizada. Verifique também se há configurações suspeitas de encaminhamento ou recuperação nas suas caixas de entrada de e-mail. Quando um registro contém uma senha ou um campo semelhante a uma senha, você deve alterar a senha de todas as contas em que usa a mesma senha ou uma parecida, adotar uma senha forte e exclusiva e ativar a autenticação multifator sempre que possível. Quando o registro não lista senhas, avalie com mais cuidado códigos de verificação, links e anexos inesperados recebidos por e-mail ou telefone.

Quando um registro contém endereço, data de nascimento, documento oficial de identificação, foto de perfil ou informações de localização, você deve atualizar as perguntas de verificação de identidade, revisar as opções de recuperação de conta e ficar atento a perfis falsos que se passem por você. Usuários corporativos devem informar à equipe de segurança se esses campos estão sendo usados para direcionar ataques a funcionários.

Para contas em serviços de natureza sensível, use um endereço de e-mail separado, adote senhas fortes e autenticação multifator, encerre contas antigas e limite a visibilidade do perfil. No longo prazo, uma senha exclusiva para cada conta, um gerenciador de senhas, autenticação multifator, verificações regulares das sessões e o encerramento de contas antigas formam a base da proteção. O fato de um endereço de e-mail já ter aparecido em diferentes incidentes indica um acúmulo de riscos que não se limita a um único registro.

Após incidentes desse tipo, pode não ser suficiente alterar apenas a senha da plataforma afetada. Se o mesmo número de telefone, endereço de entrega, nome de usuário ou e-mail de recuperação também for usado em outros serviços, invasores podem tentar acessar diferentes contas com base nesses pontos em comum. Por isso, fazer um inventário das contas e encerrar cadastros antigos oferece uma proteção duradoura.

Se você encontrar uma correspondência com este registro, avalie tanto a segurança da conta quanto o impacto sobre sua privacidade pessoal. Antes de responder a mensagens inesperadas, verifique as informações da conexão e do remetente. Este registro foi preparado para mostrar diretamente quais áreas estão em risco. Se houver uma correspondência, o primeiro passo não é entrar em pânico, mas adotar senhas distintas, encerrar sessões, revisar notificações de segurança e verificar acessos suspeitos.

Avaliação final: este registro envolve tanto informações privadas sobre a participação em serviços de relacionamento e casamento quanto riscos relacionados a senhas; por isso, foi tratado como um incidente envolvendo dados sensíveis. Compare a lista de campos desta página com o histórico das suas contas e tome medidas imediatas, principalmente nos serviços em que a mesma combinação de e-mail e senha foi reutilizada. Após o incidente, mensagens suspeitas, chamadas inesperadas ou notificações de recuperação de conta devem receber maior prioridade.