Vazamento de dados de Shadow

Os tipos de dados listados neste incidente são: datas de nascimento, endereços de e-mail, nomes e endereços físicos. Um endereço físico e uma data de nascimento, em conjunto com um endereço de e-mail, permitem montar um perfil detalhado para tentativas de phishing direcionado e uso indevido dos mecanismos de recuperação de contas. A presença conjunta desses campos pode representar um risco maior do que um vazamento apenas de e-mails, pois invasores podem combinar informações de comunicação, identidade, localização, compras ou acesso a contas de uma mesma pessoa para elaborar tentativas de phishing mais convincentes.

O campo de senha não está listado neste registro; ainda assim, informações pessoais permanentes, como data de nascimento e endereço, representam um risco de longo prazo, independentemente da senha. Os usuários devem ficar especialmente atentos a tentativas de fraude que associem senhas, números de telefone e endereços usados em diferentes serviços ao mesmo endereço de e-mail. Mesmo que o vazamento não contenha uma senha, campos como e-mail, telefone, nome completo ou endereço físico são valiosos para publicidade direcionada, engenharia social, notificações falsas e uso indevido dos mecanismos de recuperação de contas.

O registro abrange aproximadamente 543.000 registros de clientes associados ao domínio da Shadow e ao seu serviço de jogos na nuvem. Por isso, limitamos este registro aos campos de dados disponíveis, sem ampliá-lo como se fosse um comunicado definitivo da empresa. O incidente se enquadra na categoria de registros verificados. A delimitação do alcance é importante: evita-se alarmar o usuário desnecessariamente sobre tipos de dados não listados, mas o efeito combinado dos campos listados não deve ser subestimado.

Informações sobre cartões de pagamento, conteúdo dentro dos jogos ou acesso a dispositivos não foram incluídas na descrição porque não estão listadas neste registro. Nos pontos em que poderia haver referências duplicadas ou incorretas, o título, o nome de domínio, o país e o setor foram verificados separadamente. Plataformas com nomes semelhantes ou serviços distintos que atuam no mesmo setor não foram agrupados neste registro como um único incidente.

Estão em risco os clientes da Shadow, os usuários que mantêm o endereço de cobrança na conta e as pessoas que usam o mesmo endereço de e-mail para jogos, serviços de nuvem ou contas de pagamento. O principal risco para as pessoas desse grupo é que os campos vazados podem estar ligados à segurança das contas usadas no dia a dia. Se você usa o mesmo endereço de e-mail em diferentes serviços de compras, jogos, comunidades, relacionamentos, trabalho ou finanças, invasores podem usar essas informações para preparar mensagens que pareçam vir do serviço legítimo.

No contexto dos serviços de computação em nuvem, mensagens sobre faturas falsas, renovações de assinatura, problemas de pagamento ou suspensão de conta podem parecer mais convincentes. Endereços de e-mail com domínio corporativo também podem se tornar alvos de ataques a contas empresariais. Para usuários individuais, campos como número de telefone, endereço, data de nascimento, foto de perfil, informações de compras ou de dispositivos podem levar a consequências como tomada de controle da conta, phishing, assédio, rastreamento não autorizado e risco à reputação.

Os usuários afetados devem revisar as configurações de segurança da conta Shadow, assim como as informações de pagamento e de sessões vinculadas, e ter cuidado com mensagens falsas sobre assinaturas enviadas ao mesmo endereço de e-mail. No caso de contas com campos de senha ou semelhantes a senhas, os usuários devem alterar as senhas de todas as contas em que usam senhas iguais ou parecidas, adotar senhas fortes e exclusivas e ativar a autenticação multifator sempre que possível. No caso de contas sem senhas listadas, códigos de verificação inesperados, links e anexos recebidos por e-mail e telefone devem ser avaliados com mais cuidado.

Quando os registros contêm endereço, data de nascimento, documento oficial de identificação, foto de perfil ou informações de localização, os usuários devem atualizar as perguntas de verificação de identidade, revisar as opções de recuperação de conta e ficar atentos a perfis falsos que se passem por eles. Usuários corporativos devem informar à equipe de segurança se esses campos estão sendo usados para direcionar ataques a funcionários.

Nos serviços de nuvem, é importante que os usuários verifiquem regularmente o endereço de cobrança, o histórico de sessões e os meios de pagamento vinculados, além de cancelar assinaturas que não usam. No longo prazo, uma senha exclusiva para cada conta, um gerenciador de senhas, autenticação multifator, monitoramento regular das sessões e encerramento de contas antigas formam a base da segurança. O fato de um endereço de e-mail já ter sido envolvido em diferentes incidentes indica um acúmulo de risco que não se limita a um único registro.

Após incidentes desse tipo, pode não ser suficiente alterar apenas a senha da plataforma envolvida. Se o mesmo número de telefone, endereço de entrega, nome de usuário ou e-mail de recuperação também for usado em outros serviços, invasores podem tentar acessar diferentes contas com base nesses pontos em comum. Por isso, fazer um inventário das contas e encerrar cadastros antigos oferece uma proteção duradoura.

Se você encontrar uma correspondência com este incidente, não deve se concentrar apenas em alterar a senha; também deve verificar se informações permanentes, como endereço e data de nascimento, são usadas em perguntas de autenticação. Este registro foi preparado para mostrar diretamente quais áreas estão em risco. Se houver uma correspondência, o primeiro passo não é entrar em pânico, mas usar senhas diferentes, encerrar sessões, revisar notificações de segurança e verificar se há acessos suspeitos.

Avaliação final: embora este registro não contenha uma senha, ele representa um risco para dados pessoais sensíveis devido à combinação de data de nascimento e endereço físico. Você deve comparar a lista de campos desta página com o histórico das suas contas e tomar medidas imediatas nos serviços em que reutilizou a mesma combinação de e-mail e senha. Mensagens suspeitas, chamadas inesperadas ou notificações de recuperação de conta devem receber maior prioridade após o incidente.