Vazamento de dados de Sonicbids

Os tipos de dados confirmados são endereços de e-mail, nomes, nomes de usuário e hashes de senha. Um endereço de e-mail permite que invasores entrem em contato diretamente com o usuário. O nome e o nome de usuário podem ajudar a dar uma aparência personalizada a mensagens falsas. Com esses dados, mensagens sobre inscrições de artistas, oportunidades de shows, solicitações de reserva, compartilhamento de arquivos ou alertas de segurança da conta podem se tornar mais convincentes.

A presença de informações de senha na forma de um hash PBKDF2 não significa que a senha esteja armazenada em um formato legível. Ainda assim, é possível tentar descobrir senhas antigas ou fracas por adivinhação e testar a mesma senha em outras contas. Especialmente se uma conta de artista ou empresário usar a mesma senha de contas de e-mail, redes sociais, distribuição musical, processamento de pagamentos ou gestão de eventos, um único vazamento de dados pode gerar risco de acesso a um conjunto mais amplo de contas.

A data registrada para o vazamento é 30 de dezembro de 2019; a data em que ele foi confirmado e incluído em bases de dados de vazamentos é 18 de agosto de 2020. O número de contas confirmadas é 751.700. O comunicado da empresa indica que o acesso não autorizado foi identificado após um incidente de privacidade de dados associado a serviços de hospedagem em nuvem de terceiros e que algumas informações de nome de usuário e senha ficaram acessíveis por um período limitado. Essas informações sustentam a avaliação de que o incidente se limitou às credenciais das contas de usuários.

O limite do escopo é claro. Os campos confirmados são endereço de e-mail, nomes, nome de usuário e hash de senha. Número de telefone, cartão de pagamento, conta bancária, passaporte, número de documento oficial de identificação, endereço físico, dados de saúde ou conteúdo de mensagens privadas não são categorias de dados confirmadas neste incidente. Também não se deve afirmar que a senha do usuário em texto simples foi vazada; a afirmação correta é que as informações de senha estavam na forma de hash e que a reutilização de senhas continua representando um risco sério.

O grupo de maior risco é formado por pessoas que têm uma conta de artista, banda, empresário, inscrição em eventos ou contratação de shows na Sonicbids e usam a mesma senha em outros serviços. Artistas independentes e equipes pequenas costumam compartilhar contas, podem usar a mesma caixa de entrada de e-mail ou manter o acesso de ex-integrantes da equipe por muito tempo. Esses hábitos facilitam que um único vazamento de senha afete diferentes contas.

Para agências, empresários e equipes de eventos, o risco não se limita às contas pessoais. Inscrições, arquivos promocionais, links de redes sociais e contatos para contratação dos artistas representados podem ser usados em mensagens direcionadas. Se contas em outras plataformas de música tiverem sido criadas com o mesmo endereço de e-mail, invasores podem tentar associar nomes de usuário e senhas antigas. Se a conta de e-mail estiver protegida pela mesma senha, os processos de redefinição de senha também podem ser comprometidos.

O primeiro passo é garantir que a senha antiga usada na conta da Sonicbids não esteja mais ativa em nenhuma conta. Se a mesma senha ou uma semelhante estiver em uso em contas de e-mail, redes sociais, distribuição musical, venda de ingressos, pagamentos, compartilhamento de arquivos ou painéis de gestão, é necessário definir uma senha forte e exclusiva para cada uma. Ao trocar as senhas, não basta reutilizar a senha antiga com pequenas alterações; é preciso usar uma senha longa e totalmente nova.

A autenticação de dois fatores deve ser ativada em todos os serviços que oferecem esse recurso. A conta de e-mail vinculada à Sonicbids também deve ser protegida, pois as redefinições de senha e as comunicações sobre contratação de shows geralmente ocorrem por e-mail. É importante ter cautela com mensagens inesperadas sobre inscrições de artistas, contratação de shows, arquivos anexos, pedidos urgentes de pagamento ou verificação de conta. Em vez de clicar no link, acesse diretamente o serviço correspondente e confira o histórico de sessões.

No longo prazo, cada conta de música, eventos, redes sociais e e-mail deve ter uma senha exclusiva. Um gerenciador de senhas facilita a criação de senhas fortes e exclusivas sem causar confusão na equipe. O uso de contas compartilhadas deve ser reduzido, dando preferência a contas individuais e permissões baseadas em funções sempre que possível. Os acessos de ex-integrantes da equipe, antigos empresários ou funcionários que já não exercem determinada função devem ser revogados regularmente.

As contas de artistas e empresários devem passar por auditorias de segurança de rotina. Regras de encaminhamento de e-mail, contas de redes sociais vinculadas, notificações de pagamento, comunicações sobre contratação de shows e permissões de compartilhamento de arquivos devem ser revisadas em intervalos regulares. É necessário agir prontamente ao identificar um dispositivo desconhecido, uma mensagem inesperada de redefinição de senha ou uma alteração suspeita no perfil. Esse hábito não apenas reduz o risco decorrente do incidente da Sonicbids, mas também diminui o impacto de vazamentos semelhantes no futuro.

Se você receber um resultado indicando uma correspondência, seu endereço de e-mail pode ter estado entre as 751.700 contas associadas ao vazamento de dados da Sonicbids. Esse resultado não significa que suas informações de pagamento, seu endereço físico ou suas mensagens privadas tenham sido vazados. Os campos confirmados são endereço de e-mail, nomes, nome de usuário e hash de senha. A primeira verificação é determinar se a senha usada na Sonicbids naquela época continuou em uso em outras contas.

Se você usou sua senha antiga da Sonicbids em outros serviços, troque a senha dessas contas. Confira também sua conta de e-mail, seus perfis de artista, suas contas de redes sociais, seus espaços de compartilhamento de arquivos e seus contatos para contratação de shows. Se você notar alterações desconhecidas no perfil, atividades de inscrição que não reconhece ou mudanças nas informações de contato da conta, entre em contato com o canal de suporte correspondente. A abordagem correta para essa situação não é ampliar a lista de campos de dados sem confirmação, mas reduzir os riscos de longo prazo para a segurança das contas decorrentes da combinação de e-mail, nome, nome de usuário e senha.