Vazamento de dados de ShareThis

As categorias de dados verificadas incluem datas de nascimento, endereços de e-mail, nomes e senhas. O campo de senha deve ser tratado como dados de senhas armazenadas em forma de hash, e não como senhas em texto simples. Uma senha em forma de hash não pode ser lida diretamente; no entanto, invasores podem adivinhar senhas fracas, curtas ou reutilizadas. Se a mesma senha também for válida para contas de e-mail, redes sociais, compras, editores de conteúdo ou ferramentas de publicidade, os efeitos desse vazamento podem se estender a outros serviços.

Combinados com o endereço de e-mail, a data de nascimento e o nome fornecem uma base sólida para criar mensagens falsas personalizadas para o usuário. Como os serviços da ShareThis estão associados a sites, ferramentas de compartilhamento e ao ecossistema de marketing digital, invasores podem preparar mensagens sobre contas de publicidade, ferramentas de conteúdo, plugins de compartilhamento em redes sociais ou verificação de contas. Quantidades de pessoas, campos de dados e alegações de agentes de ameaça que não tenham sido verificados não são considerados parte do escopo público do incidente. A descrição dos riscos deve se basear apenas nos campos comprovadamente afetados.

Para o incidente da ShareThis, o escopo registrado no LeakData deve permanecer em 40.960.499 contas de e-mail únicas. Embora o número de registros de contas em listas externas de venda possa ultrapassar aproximadamente 41 milhões, o número principal apresentado ao usuário deve continuar alinhado à quantidade de contas de e-mail únicas. A data do vazamento deve ser registrada como 9 de julho de 2018, e a data de inclusão na lista verificada, como 3 de março de 2019. Essa distinção deve ser mantida para evitar que o usuário confunda a data do incidente com a data de inclusão na lista verificada.

O escopo se refere à circulação de dados de contas da ShareThis, de usuários de ferramentas de compartilhamento em redes sociais e de informações relacionadas a essas contas. Este incidente não deve ser apresentado como um vazamento completo de dados de cartões de pagamento, contas bancárias, documentos oficiais de identificação, agendas de contatos, mensagens privadas ou históricos de navegação. Como algumas notícias descrevem uma onda mais ampla de vendas de dados, o número total de pacotes não deve ser informado como se fosse o número de usuários da ShareThis. Essa distinção evita alarmes falsos e fornece ao usuário a lista correta de medidas a tomar.

O maior risco é para usuários que reutilizam, em outras contas, o e-mail e a senha usados na conta da ShareThis. Se as mesmas credenciais forem válidas para uma conta de e-mail, rede social, ferramenta de gerenciamento de conteúdo, painel de publicidade ou conta de compras, invasores podem direcionar tentativas automatizadas de login a essas contas. A data de nascimento e o nome também fornecem material adicional para perguntas de redefinição de senha, mensagens falsas de segurança ou mensagens de phishing que parecem pessoais.

Proprietários de sites, criadores de conteúdo, equipes de marketing e pessoas que usam ferramentas de redes sociais com o mesmo endereço de e-mail há muito tempo também devem ter cuidado. Mesmo que uma conta antiga da ShareThis não esteja mais ativa, o risco persiste se o mesmo endereço de e-mail for usado em outras contas de trabalho. Contas abertas com endereços de e-mail corporativos podem ser associadas a tentativas de engenharia social de invasores direcionadas ao domínio da empresa. Em contas abertas com endereços de e-mail pessoais, destacam-se o spam, as notificações falsas de cadastro e as solicitações de redefinição de senha.

Se o seu endereço de e-mail estiver nos dados da ShareThis, primeiro certifique-se de que a senha antiga usada na conta da ShareThis não seja mais válida em nenhum serviço atualmente. Se você tiver usado a mesma senha ou uma semelhante em outras contas, defina uma senha diferente, longa e difícil de adivinhar para cada uma delas. O uso de um gerenciador de senhas reduz o risco de reutilização. Acrescentar um ano, um ponto de exclamação ou um sufixo curto ao final da senha não é considerado uma alteração segura; abandone completamente esse padrão.

Ative a autenticação de dois fatores em serviços como contas de e-mail, redes sociais, sistemas de gerenciamento de conteúdo, painéis de publicidade e serviços de pagamento. Ao receber uma notificação inesperada de login, uma solicitação de redefinição de senha ou um link relacionado à ShareThis ou a uma ferramenta de compartilhamento em redes sociais, verifique o endereço e o domínio do remetente por meios independentes. Revise as contas antigas criadas com o mesmo endereço de e-mail e encerre as que não usa ou isole-as com uma senha exclusiva. Se houver qualquer indício de login suspeito, encerre as sessões e atualize os endereços de e-mail de recuperação.

O vazamento da ShareThis mostra que contas antigas de ferramentas on-line podem representar um risco de segurança por muito tempo. Não reutilize a mesma senha em contas de trabalho, pessoais, de redes sociais e de ferramentas de marketing. Informações fixas, como endereços de e-mail e datas de nascimento, podem ser usadas em phishing mesmo anos depois. Por isso, revise periodicamente o inventário de contas antigas, encerre os cadastros que não são mais necessários e proteja as contas que continuam ativas com senhas exclusivas.

A principal lição para os prestadores de serviços é proteger os hashes de senhas com métodos modernos de armazenamento de senhas que imponham um alto custo de processamento, reduzir campos de dados pessoais desnecessários e enviar notificações de vazamento rapidamente. É preciso comunicar claramente ao usuário quais campos foram afetados, quais não foram verificados e em que data o incidente ocorreu. No caso da ShareThis, como o impacto sobre dados financeiros ou documentos oficiais de identificação não foi verificado, a comunicação de riscos deve continuar focada na segurança das contas, no cruzamento de dados pessoais e no phishing.

Se o resultado for positivo, o endereço de e-mail, o nome, a data de nascimento e o hash da senha devem ser considerados em risco. Se o resultado for negativo, isso significa apenas que nenhuma correspondência foi encontrada nesse conjunto específico de dados; não comprova que a pessoa não tenha sido afetada por outros vazamentos. Um incidente antigo continua gerando riscos no presente se os mesmos hábitos de uso de senhas persistirem.

A medida correta é abandonar completamente a senha antiga, alterar as senhas de todas as contas em que você usa senhas iguais ou semelhantes, proteger a conta de e-mail com autenticação multifator e ter cuidado com mensagens falsas relacionadas à ShareThis ou a ferramentas de compartilhamento em redes sociais. Verifique também contas antigas de marketing, redes sociais, editores de conteúdo e ferramentas de conteúdo abertas com o mesmo endereço de e-mail. Essas medidas reduzem o risco de um vazamento de dados de 2018 resultar em tomada de controle de contas ou phishing direcionado hoje.