Vazamento de dados de ShopBack

O incidente do ShopBack expôs endereços de e-mail, dados de país ou localização geográfica, nomes, números de telefone e hashes de senhas. Uma investigação regulatória também confirmou que, em Singapura, o vazamento incluiu cerca de 300.000 números de contas bancárias e dados parciais de cartões de crédito de aproximadamente 380.000 pessoas. As senhas estavam armazenadas como hashes SHA-1 com salt, e não em texto simples. O uso de salt torna os ataques mais lentos, mas o SHA-1 não torna senhas fracas seguras. Dados de e-mail, nome, telefone e país podem ser usados para personalizar mensagens falsas sobre reembolsos, saques de cashback ou verificação de conta. Informações de contas bancárias e dados parciais de cartões não são suficientes para realizar uma transação direta, mas podem ajudar um golpista a ganhar confiança. Números completos de cartões, códigos de segurança, saldos de cashback, datas de nascimento, gêneros e históricos detalhados de compras não constam como categorias confirmadas de dados estruturados. Os campos financeiros foram confirmados na investigação regional, e não se deve presumir que estejam presentes em todos os registros globais.

O incidente começou quando uma chave de acesso à nuvem com privilégios totais foi salva acidentalmente em um repositório privado de código-fonte em junho de 2019. Ela foi removida do arquivo visível, mas permaneceu no histórico de alterações e não foi totalmente desativada durante a rotação. Cerca de 15 meses depois, em 9 de setembro de 2020, um invasor usou a chave para entrar no ambiente de nuvem, alterar configurações de segurança e extrair registros de clientes. O ShopBack detectou o acesso durante uma revisão de rotina em 17 de setembro; essa continua sendo a data de referência do vazamento, enquanto 9 de setembro está registrado como a data do ataque. A empresa excluiu a chave, renovou as credenciais de acesso e obrigou todos os clientes a sair de suas contas e redefinir as senhas. O banco de dados foi colocado à venda em 12 de novembro de 2020. O número de 20.529.819 corresponde à contagem global de e-mails únicos; o número superior a 1,4 milhão informado na investigação regulatória abrange Singapura e não deve ser somado a essa contagem. Essa distinção evita que as contagens regionais inflem o total global de registros.

O principal grupo de risco são as pessoas que criaram uma conta no ShopBack antes de 2020 e forneceram um e-mail, número de telefone ou país. Quem reutilizou a senha do ShopBack em serviços de e-mail, compras, viagens ou finanças corre um risco maior de ter suas contas tomadas por terceiros. A análise realizada em Singapura encontrou cerca de 1,4 milhão de endereços de e-mail, 840.000 nomes, 450.000 números de celular, 300.000 contas bancárias e 380.000 registros com dados parciais de cartões; não se deve presumir que todos os campos estejam presentes para cada pessoa. E-mail, telefone e o vínculo com um serviço de cashback podem servir de base para mensagens falsas sobre saldo, saques, reembolsos ou promoções. Dados financeiros parciais podem fazer com que ligações de golpistas pareçam vir de um banco ou emissor de cartão. Deixar de usar a conta não elimina o risco, pois os dados de contato e as senhas reutilizadas podem continuar válidos por anos. O grau de completude dos registros varia, portanto uma correspondência de e-mail, por si só, não comprova que todos os campos listados tenham sido expostos para aquela pessoa.

Se você não mudou sua senha do ShopBack desde 2020, troque-a agora por uma senha longa e exclusiva. Troque também as credenciais semelhantes usadas em outras contas, começando pelo e-mail principal e pelos serviços de compras e finanças. Inicie a redefinição pelo aplicativo ou por um endereço oficial que você mesmo digite, em vez de usar um link recebido em uma mensagem inesperada. Encerre as sessões ativas, confira o e-mail e o telefone de recuperação e ative a autenticação multifator onde estiver disponível. Clientes que forneceram informações bancárias ou de cartões devem monitorar a atividade das contas e os alertas, entrando em contato com a instituição financeira pelo canal oficial caso apareça uma transação desconhecida. Nunca forneça uma senha, um código de uso único, um número completo de cartão ou um código de segurança em resposta a uma mensagem que alegue tratar de cashback, saques, reembolsos ou promoções.

Um gerenciador de senhas que gera uma credencial diferente para cada serviço impede que um hash antigo seja usado para acessar outras contas. Como o e-mail controla a recuperação de contas em serviços financeiros e de compras, proteja-o com sua senha mais forte e um segundo fator robusto, como um aplicativo autenticador ou uma chave de segurança. Ative as notificações bancárias e de cartões, investigue até mesmo pequenas cobranças de teste e revise regularmente as informações de recuperação. Encerre contas de compras que você não usa mais e evite manter dados opcionais de telefone, localização ou pagamento. O monitoramento de vazamentos, a revisão de sessões e a atenção ao phishing oferecem proteção duradoura. Avalie com cuidado mensagens direcionadas a você, mesmo anos depois, pois conjuntos de dados roubados podem ser copiados, revendidos e combinados com informações mais recentes.

Verifique seu endereço de e-mail no LeakData para saber se ele corresponde a um registro do ShopBack ou de outro vazamento verificado. Uma correspondência indica que o endereço está entre os 20.529.819 e-mails únicos da contagem de referência; ela não comprova que você fazia parte do subconjunto de cerca de 1,4 milhão de pessoas em Singapura nem que os campos bancários e de dados parciais de cartões sejam seus. Confira a data e as categorias de dados, considere onde você reutilizou sua senha de 2020 e comece pelas contas que controlam seu e-mail e seu dinheiro. Nunca insira uma senha, um número de conta bancária ou informações de cartão no campo de busca; basta um endereço de e-mail. O monitoramento contínuo pode sinalizar dados publicados ou que voltem a circular posteriormente. Continue usando senhas exclusivas, autenticação multifator e alertas de transações, mesmo quando nenhuma correspondência for encontrada.