Vazamento de dados de Straffic

Os campos de dados verificados são endereços de e-mail, informações de gênero, nomes, números de telefone e endereços físicos. Um nome associado a um endereço de e-mail já fornece elementos suficientes para criar mensagens que pareçam direcionadas e personalizadas. Quando há também um número de telefone, o risco deixa de se limitar ao e-mail e passa a abranger canais como SMS, chamadas automatizadas, contatos de falsos representantes de atendimento e notificações de entrega. Um endereço físico pode ser usado em faturas falsas, assinaturas fraudulentas, ofertas de serviços locais ou tentativas de engano baseadas na localização.

A informação de gênero, isoladamente, pode não parecer sensível; porém, quando combinada com nome, e-mail, telefone e endereço, ela pode enriquecer o perfil de uma pessoa. Criminosos podem combinar esses campos para criar mensagens mais convincentes sobre a região onde a pessoa mora, seus hábitos de comunicação e seus possíveis interesses. Neste incidente, as categorias de dados confirmadas não incluem senhas, cartões de pagamento, contas bancárias ou números de documentos oficiais de identificação. Essa distinção é importante: a descrição dos riscos não deve apresentar o caso como um comprometimento de conta por senha, mas se concentrar nos riscos de fraude e de privacidade decorrentes das informações de contato e endereço.

O número de contas verificadas no vazamento da sTraffic corresponde a 48.580.249 endereços de e-mail únicos. A data do incidente está registrada como 14 de fevereiro de 2020, e a data de inclusão verificada é 27 de fevereiro de 2020. O incidente está associado à acessibilidade de registros de contato encontrados em um repositório de dados de grande volume com recurso de busca. O volume de dados informado é da ordem de 140 GB, e o total de linhas pode ser maior que o número de e-mails únicos; ainda assim, nas consultas voltadas à segurança do usuário, a correspondência básica por pessoa deve se basear no número de e-mails únicos.

Os campos de dados verificados se limitam a endereços de e-mail, informações de gênero, nomes, números de telefone e endereços físicos. Não se espera que todos os campos estejam preenchidos para cada pessoa: em conjuntos de dados de marketing, algumas pessoas podem ter apenas um e-mail registrado, enquanto outras também podem ter informações de telefone ou endereço. Campos como senhas, contas financeiras, cartões de pagamento, dados de saúde ou documentos de identificação emitidos pelo governo não fazem parte do escopo verificado deste vazamento. Portanto, a orientação aos usuários deve ser verificar os canais de contato, a visibilidade do endereço e os riscos de engenharia social, sem provocar pânico financeiro desnecessário.

As pessoas que usam o mesmo e-mail e número de telefone há muitos anos estão entre as mais expostas ao risco. Como os dados de marketing podem ser cruzados com diferentes listas ao longo do tempo, um registro de contato antigo pode ser reutilizado em mensagens fraudulentas atuais. O risco é ainda maior para quem usa um endereço de e-mail profissional: combinado com nome, telefone e endereço físico, ele pode ser usado em ataques com aparência profissional, como contatos de falsos fornecedores, ofertas falsas, faturas falsas ou convites para reuniões.

As pessoas cujo número de telefone e endereço físico constam no conjunto de dados também devem ter cuidado com golpes por SMS, notificações falsas de envio, alertas falsos de assinatura e ligações que oferecem serviços locais. Segundo relatos, há registros de contato ligados à Europa e à América; por isso, usuários de diferentes regiões podem enfrentar riscos semelhantes. Até mesmo quem nunca ouviu falar da Straffic pode ser afetado, pois seus dados podem ter sido coletados ou transferidos pela rede de marketing de dados. Isso significa que notificações de empresas desconhecidas não devem ser consideradas falsas automaticamente, mas precisam ser examinadas com cuidado.

Se houver uma correspondência com o vazamento da Straffic, o primeiro passo é adotar verificações mais rigorosas para mensagens suspeitas recebidas por e-mail e telefone. Não clique diretamente em links de mensagens enviadas em nome de bancos, transportadoras, serviços de assinatura, serviços públicos, ofertas de emprego ou serviços locais. Se alguém ligar e pedir informações pessoais, um código de uso único, dados de cartão ou acesso remoto, encerre a ligação e faça a verificação, de preferência, pelo canal oficial de contato da instituição. Mensagens que incluem seu endereço físico podem parecer mais convincentes; por isso, o simples fato de alguém conhecer seu endereço não deve ser considerado uma garantia de segurança.

Senhas não estão entre os campos verificados deste vazamento; ainda assim, quem usa elementos fáceis de adivinhar, como endereço, local de nascimento, bairro, nome da rua ou número de telefone, deve atualizar suas senhas. Na conta de e-mail, procure regras de encaminhamento desconhecidas e revise os endereços de recuperação e o histórico de sessões. Se seu número de telefone receber muitas mensagens indesejadas, você pode ativar opções de bloqueio da operadora, filtros de spam e alertas confiáveis de chamadas. Também convém reduzir a exposição de informações de endereço em perfis públicos e anúncios antigos.

O objetivo de longo prazo é dificultar que um único vazamento de dados permita entrar em contato com uma pessoa por diferentes canais. Números de telefone reais e endereços de e-mail principais só devem ser fornecidos em formulários de cadastro quando forem obrigatórios. Você pode optar por aliases de e-mail separados para newsletters, campanhas, sorteios e serviços de uso único. Não informe seu número de telefone em campos desnecessários e compartilhe seu endereço físico apenas quando isso for necessário para entregas ou obrigações legais. Essa abordagem reduz o risco em cadeia decorrente das listas de marketing.

No ambiente corporativo, é importante monitorar regularmente se os e-mails profissionais dos funcionários aparecem em listas de marketing de terceiros. As equipes de segurança devem prestar atenção não apenas a vazamentos de senhas, mas também à exposição de dados pessoais, incluindo telefones e endereços. Fraudes com faturas e fornecedores falsos muitas vezes são praticadas com o nome e os dados de contato corretos da pessoa, sem necessidade de uma senha. Por isso, segurança de e-mail, procedimentos de verificação por telefone, conscientização dos funcionários e minimização de dados devem ser tratados em conjunto.

Você pode consultar seu endereço de e-mail no LeakData para verificar se há uma correspondência com um vazamento da Straffic. Se houver, isso significa que seu endereço de e-mail está incluído nesse conjunto de dados; não é correto concluir com certeza que seu telefone, endereço físico ou cada um dos outros campos também estejam presentes. Ainda assim, a correspondência indica que suas informações de contato podem ter sido encontradas em um conjunto de dados originado de atividades de marketing. Portanto, você deve examinar com mais cuidado mensagens suspeitas que usem seu e-mail, telefone e endereço.

Não se deve estender o escopo dos vazamentos da Straffic a senhas ou cartões de pagamento; a comunicação dos riscos se baseia em dados de contato e de perfil verificados. As medidas mais adequadas para este incidente são verificar solicitações falsas que usem seu endereço de e-mail, número de telefone e endereço físico, reduzir o compartilhamento desnecessário de dados, manter os filtros de spam ativos e encerrar perfis antigos que estejam expostos. Se suas informações também aparecerem em outros vazamentos, os campos de dados de cada incidente devem ser avaliados separadamente; uma única correspondência não significa que as senhas de todas as suas contas tenham sido roubadas.