Vazamento de dados de SuperDraft

Os tipos de dados listados neste incidente são: datas de nascimento, endereços de e-mail, localizações geográficas, pares de latitude e longitude, senhas, informações de compras e nomes de usuário. As informações de latitude e longitude e de compras podem afetar não apenas a conta do usuário, mas também aspectos de sua localização física e de seu histórico de transações. Quando usados em conjunto, esses campos podem levar à tomada de controle de contas, engenharia social, fraudes, ataques direcionados no mundo físico ou violações de privacidade.

Entende-se que as senhas estão associadas a valores de hash bcrypt; um método robusto de hash reduz o risco, mas ele permanece quando há reutilização de senhas. Nos registros que contêm senhas, usar senhas iguais ou semelhantes em outros serviços é um dos riscos mais críticos. Nos registros sem senhas, campos como dispositivo, localização, telefone, endereço, escolaridade, candidatura a emprego ou contexto financeiro podem tornar mensagens direcionadas mais convincentes.

O registro abrange aproximadamente 300.000 contas de clientes associadas ao domínio superdraft.io. O incidente é classificado como um registro verificado. Na avaliação do escopo, foram conferidos separadamente o número de contas, o domínio, o setor, o país e as categorias de dados. Os campos de dados exibidos ao usuário foram limitados aos que estão efetivamente listados no registro.

O campo de latitude e longitude, ausente no registro anterior, foi adicionado às categorias de dados. Essa delimitação é especialmente importante no caso de marcas com nomes semelhantes, registros que abrangem vários serviços ou setores sensíveis. O registro não foi mesclado com outro evento nem ampliado de forma a gerar registros duplicados, e o contexto da empresa foi esclarecido tanto quanto possível.

Clientes da SuperDraft que usam o mesmo nome de usuário em contas de esportes ou jogos e usuários com informações de localização estão em risco. O principal risco para essas pessoas é que os dados vazados sejam cruzados com informações comuns usadas em outras contas. Quando o mesmo endereço de e-mail, número de telefone, nome de usuário, ID do dispositivo ou senha se repete, invasores podem tentar usar esses dados em diferentes serviços.

O contexto de fantasy esportivo pode ser explorado por meio de mensagens falsas sobre recompensas, pagamentos, resgates ou verificação de conta. Para usuários corporativos, destacam-se o e-mail de trabalho e as informações sobre tarefas; para usuários individuais, ganham destaque os dados de endereço, data de nascimento, compras, localização ou vínculo com o serviço. Em áreas como educação, telecomunicações, finanças, viagens, política, candidaturas a emprego e VPNs, o próprio contexto também pode aumentar o risco de ataques direcionados.

Se você foi afetado, deve alterar suas senhas, conferir seu histórico de pagamentos e compras e verificar se há sessões desconhecidas em suas contas. Se houver uma senha ou um campo semelhante a senha na lista, altere a senha em todas as contas nas quais usa a mesma senha, adote uma senha exclusiva e ative a autenticação multifator sempre que possível. Tomar medidas em apenas uma plataforma pode não ser suficiente.

Se houver campos como telefone, endereço, data de nascimento, ID do dispositivo, documento oficial de identificação, candidatura a emprego ou saldo de recompensas, verifique as informações de recuperação da conta, as sessões registradas, o encaminhamento de e-mails e as mensagens suspeitas. Nas instituições, os processos devem ser atualizados para lidar com alertas a funcionários, faturas falsas e tentativas de verificação de contas.

Em contas de esportes e de jogos com premiação, os dados de localização e pagamento devem ser limitados quando não forem necessários, e a segurança da conta deve ser verificada regularmente. No longo prazo, um gerenciador de senhas, senhas exclusivas, autenticação multifator, encerramento de contas antigas, exclusão de campos desnecessários do perfil e minimização de dados formam a base da segurança. Como não é possível recuperar dados pessoais permanentes, a proteção depende de reforçar as práticas de segurança no uso das contas.

Empresas e instituições devem reavaliar o inventário pós-incidente, as permissões de acesso, o armazenamento de dados antigos, os processos de notificação e o uso de plataformas de terceiros. Para você, evitar a repetição dos mesmos dados de identificação em diferentes serviços e criar o hábito de verificar comunicações suspeitas por um segundo canal são medidas que oferecem proteção duradoura.

Se os seus dados corresponderem a este registro, verifique todas as contas de esportes, jogos e pagamentos nas quais usa o mesmo par de e-mail e senha. Caso identifique uma correspondência, leia primeiro quais campos de dados estão listados e, em seguida, priorize as medidas de acordo com esses campos. Se houver senha, priorize a troca de senha; se houver documento oficial de identificação, o monitoramento desse documento; se houver informações de localização ou dispositivo, a segurança do dispositivo; se houver informações de escolaridade ou candidatura a emprego, a verificação das contas institucionais.

Avaliação final: este registro foi classificado como sensível porque combina campos de senha, data de nascimento, compras e localização. Você deve comparar este registro com seu histórico de contas e verificar individualmente os serviços nos quais usa o mesmo e-mail, número de telefone, nome de usuário ou senha. Chamadas, mensagens, e-mails ou notificações de recuperação de conta inesperados devem ser tratados como situações de maior risco após o incidente.