Vazamento de dados de ShockGore

Os tipos de dados verificados são endereços de e-mail, informações de gênero, endereços IP, senhas, mensagens privadas e nomes de usuário. Os endereços de e-mail são o principal ponto de contato para mensagens de phishing direcionadas. Os nomes de usuário aumentam o risco de vinculação de identidades online quando o mesmo apelido também é usado em outras comunidades. Os endereços IP podem permitir inferências sobre a localização aproximada, o provedor de internet e os hábitos de acesso. As informações de gênero e as mensagens privadas ampliam ainda mais o impacto sobre a privacidade.

Armazenar dados de senhas com hashes SHA-1 sem salt é uma fragilidade técnica significativa. Sem salt, a mesma senha gera o mesmo valor de hash, o que facilita testes com listas prontas por parte de invasores. SHA-1 não é um padrão moderno de armazenamento de senhas; senhas curtas, repetidas ou baseadas em palavras de dicionário são mais fáceis de adivinhar. Se a mesma senha tiver sido usada em outras contas, o risco pode se estender a contas de e-mail, redes sociais, jogos, serviços em nuvem ou serviços financeiros.

A comparação entre fontes confirma 11 de agosto de 2020 como a data do incidente do ShockGore, 20 de janeiro de 2022 como a data de inclusão do registro e 73.944 endereços de e-mail afetados. Os campos de dados verificados são endereços de e-mail, informações de gênero, endereços IP, senhas, mensagens privadas e nomes de usuário. As senhas são descritas como hashes SHA-1 sem salt. Número de telefone, endereço físico, cartão de pagamento, documento oficial de identificação, nome real, data de nascimento, foto, informações de compras e histórico de localização não estão entre os tipos de dados verificados neste incidente.

Respeitar esse limite é necessário para que você tenha uma visão precisa do risco. A classificação como sensível está relacionada tanto à temática do site quanto à exposição de mensagens privadas. A associação de uma pessoa a um serviço desse tipo pode ser usada de forma indevida por terceiros. Acrescentar campos não verificados gera alarmes falsos; por outro lado, e-mail, endereço IP, nome de usuário, informações de gênero, mensagens privadas e hashes de senhas SHA-1 sem salt são campos que exigem medidas diretas.

O maior risco recai sobre quem reutiliza em outros serviços a senha usada na conta do ShockGore. Mesmo que a senha antiga tenha sido alterada, o risco continua se padrões semelhantes de senha forem mantidos em diferentes contas. Pessoas que usam o mesmo nome de usuário em diferentes plataformas podem ter suas identidades vinculadas com mais facilidade. Se o endereço de e-mail estiver associado a comunicações pessoais, profissionais ou familiares, as mensagens direcionadas podem parecer mais confiáveis.

Usuários com mensagens privadas também estão em risco. O conteúdo das mensagens, os materiais solicitados, os links ou as expressões pessoais podem ser usados por terceiros para ameaçar ou constranger. Um nome de usuário combinado com um endereço IP e informações de gênero pode permitir que o invasor direcione a mensagem especificamente à pessoa. Por isso, você deve verificar não apenas sua senha, mas também sua conta de e-mail, outras contas associadas ao mesmo apelido e contas mencionadas nas mensagens privadas.

O primeiro passo é garantir que a senha antiga usada na conta do ShockGore não esteja ativa em nenhuma outra conta. Escolha uma senha nova, única e forte para cada serviço em que você usa a mesma senha ou uma senha semelhante. A conta de e-mail é uma prioridade, pois os links de redefinição de senha e os alertas de segurança geralmente chegam à caixa de entrada. Ative a autenticação de dois fatores na conta de e-mail e revise os endereços de recuperação e as sessões recentes.

Tenha cautela com ameaças, alertas sobre contas, pedidos de pagamento ou mensagens de chantagem que usem o nome do site, seu antigo nome de usuário ou o conteúdo de mensagens privadas. A presença de um endereço de e-mail real, da região associada a um IP, de informações de gênero ou de um nome de usuário na mensagem não significa que ela seja confiável. Não tente fazer login pelo link, não abra anexos e não compartilhe as informações solicitadas. Se necessário, encerre todas as sessões nas contas em questão e mantenha as notificações de segurança ativas.

Usar uma senha diferente para cada serviço é uma regra básica de segurança a longo prazo. Um gerenciador de senhas é uma solução eficaz para identificar senhas antigas reutilizadas e armazenar senhas fortes com segurança. Se for possível separar o endereço de e-mail usado em contas de comunidades sensíveis daquele usado nas comunicações cotidianas de trabalho e com a família, o risco diminui. Repetir o mesmo nome de usuário em diferentes plataformas durante anos facilita a vinculação de identidades; por isso, o uso de um pseudônimo também deve fazer parte do plano de segurança.

Revise periodicamente suas contas antigas em fóruns e comunidades de compartilhamento de conteúdo, encerre as contas desnecessárias e reduza as informações dos perfis. Quando mensagens privadas são vazadas, não apenas a senha, mas também as comunicações passadas fazem parte da superfície de risco. Arquivos de e-mail, notificações antigas de cadastro e mensagens de redefinição de senha podem ser usados em tentativas de engenharia social. Um plano de segurança deve reunir alterações de senhas, proteção do e-mail, autenticação multifator e revisão e remoção de contas antigas.

Se você encontrar um resultado do ShockGore no LeakData, leve em conta o incidente de 11 de agosto de 2020 e as 73.944 contas afetadas. Os campos verificados incluem endereços de e-mail, informações de gênero, endereços IP, nomes de usuário, mensagens privadas e senhas. Os dados de senhas estão associados a hashes SHA-1 sem salt. Sua prioridade é deixar de usar senhas antigas reutilizadas, reforçar a segurança da conta de e-mail, verificar outras contas que usam o mesmo apelido e ter cautela com mensagens de ameaça que explorem esse contexto sensível.

Como número de telefone, endereço físico, cartão de pagamento, documento oficial de identificação, nome real, data de nascimento, foto, informações de compras e histórico de localização não foram verificados neste incidente, o plano de ação não deve se basear nesses dados. Em contrapartida, os campos de e-mail, endereço IP, informações de gênero, nome de usuário, mensagens privadas e senhas representam um risco real. Você deve limitar a propagação dos efeitos deste incidente para outras contas usando senhas únicas, autenticação multifator, verificações do histórico de sessões e o hábito de não tentar fazer login por meio de links.