Vazamento de dados de Shitexpress

Os tipos de dados vazados são endereços de e-mail, endereços IP, nomes, endereços físicos, mensagens privadas e registros de compras. As informações de endereço físico e nome ampliam as ameaças que atingem diretamente a pessoa, dado o contexto de entrega. As mensagens privadas têm grande impacto sobre a privacidade, pois podem revelar a relação entre o destinatário e o remetente ou a finalidade do pedido. Os registros de compras podem aumentar os riscos de danos à reputação, engenharia social e assédio direcionado, pois mostram a relação da pessoa com o serviço. Os endereços IP podem ser usados para estimar a localização e estabelecer correspondências entre contas. Portanto, os registros devem ser classificados como dados sensíveis, e o incidente não deve ser tratado apenas como um vazamento de e-mails.

O escopo verificado inclui 23.817 contas afetadas e dados associados ao domínio shitexpress.com. Senhas, números completos de cartões de pagamento, contas bancárias, números de identificação emitidos pelo governo ou documentos de identidade não constam como campos verificados no escopo. Por outro lado, endereços, registros de compras e mensagens privadas estão incluídos no escopo verificado. Os dados afetados abrangem endereços de e-mail relacionados a faturas, cartões-presente, promoções e registros de pagamento; também incluem o IP e as informações de e-mail do remetente, os endereços físicos do destinatário e as mensagens adicionadas às entregas, considerados na avaliação de risco. O campo de data que mostra 2022 representa a data do incidente, enquanto a informação de 16 de agosto de 2022 indica quando a lista verificada foi compilada.

Os grupos em risco são as pessoas que fazem pedidos, os destinatários das entregas, os usuários que constam em registros de cartões-presente ou promoções e as pessoas mencionadas no campo de mensagem. A presença conjunta do e-mail do remetente e do endereço do destinatário pode permitir inferências adicionais sobre a relação entre as duas partes. Quando o endereço do destinatário, as informações de nome e a mensagem de entrega são combinados, aumenta o risco de fraude direcionada, pressão social, danos à reputação ou contato indesejado. Os endereços IP podem fornecer informações adicionais sobre a região aproximada do remetente ou a sessão em seu dispositivo. Em um incidente como esse, a sensibilidade decorre não apenas do risco de perda financeira, mas também da possibilidade de danos à privacidade pessoal e de prejuízos sociais.

Os usuários afetados devem verificar o histórico de sessões e a segurança das senhas nas contas em que usam o mesmo endereço de e-mail. É preciso esperar mensagens de phishing direcionadas, mesmo que as senhas não estejam entre as categorias de dados verificadas. Mensagens sobre pedidos, envio, pagamento, devoluções, cartões-presente ou mensagens de entrega devem ser verificadas por canais oficiais antes da abertura de qualquer link. Pessoas cujos endereços físicos foram afetados devem ter cautela com solicitações relacionadas a entregas e contatos telefônicos de origem desconhecida. A autenticação multifator deve ser ativada nas contas de e-mail, as informações de recuperação devem ser atualizadas e as notificações de segurança devem ser monitoradas nas contas críticas vinculadas ao mesmo endereço de e-mail. Como os dados contêm mensagens privadas, os usuários devem estar preparados para tentativas de engenharia social e intimidação.

Este incidente demonstra os riscos que os dados de pedidos e entregas podem representar para a privacidade. Em serviços de comércio eletrônico, o histórico de pedidos, as áreas de mensagens e os dados de endereço devem ser mantidos apenas pelo menor período necessário até a conclusão da transação. Do lado do usuário, o uso de endereços de e-mail separados para diferentes serviços, de um gerenciador de senhas robusto e de autenticação multifator oferece proteção a longo prazo. Do lado das empresas, os registros de endereços, mensagens e dados vinculados a pagamentos também devem ser protegidos, os campos desnecessários devem ser excluídos e as permissões de acesso devem ser restritas. As equipes de suporte ao usuário devem preparar notificações que expliquem claramente os riscos de roubo de identidade e assédio após violações desse tipo.

Os usuários que encontrarem um registro de violação da Shitexpress na LeakData também devem avaliar se o endereço de e-mail em questão foi usado para fazer pedidos, receber entregas ou se cadastrar em promoções. Quando o endereço de e-mail, o endereço físico e a mensagem privada aparecem juntos, o risco deve ser considerado maior. O usuário deve verificar os registros de login nas contas críticas vinculadas ao mesmo endereço de e-mail, manter os alertas de segurança ativados e consultar uma fonte oficial antes de responder a mensagens suspeitas sobre entregas ou pagamentos. Como as informações de endereço e de mensagens são tipos de dados que não podem ser alterados, é necessário manter a cautela diante dos riscos de tentativas de identificação de pessoas, buscas direcionadas e pressão social a longo prazo.