Vazamento de dados da SuperHry em 2021

Quando os campos visíveis no registro da SuperHry são avaliados em conjunto, o risco não decorre de apenas um tipo de dado. Quando nomes de usuário, endereços de e-mail, endereços IP, informações de gênero, nomes e idiomas falados estão presentes no mesmo perfil de usuário, os invasores podem preparar mensagens mais personalizadas e convincentes. Os identificadores de contato, conta ou perfil verificados no registro aumentam o risco de engenharia social e de associação entre perfis. Informações adicionais sobre a conta presentes no registro podem facilitar a criação de mensagens fraudulentas que pareçam fazer parte de uma interação legítima com o serviço.

Os principais riscos destacados neste incidente são ataques direcionados a contas de jogos, associação entre perfis e mensagens falsas de comunidades. Os invasores podem combinar campos dos registros ao preparar alertas falsos sobre contas, redefinições de senha, renovações de assinatura, notificações de suporte ou mensagens de verificação de segurança. O uso, na mensagem, de detalhes de conta realmente presentes no registro pode reduzir a cautela do usuário. Portanto, mesmo que o registro não contenha uma senha, o risco de associação entre perfis e de fraudes direcionadas permanece.

O primeiro passo para os usuários da SuperHry é comparar os campos deste registro com seus próprios hábitos de uso de contas. Se as mesmas informações verificadas de conta ou contato tiverem sido usadas em outros serviços, as mensagens recebidas devem ser avaliadas considerando toda a identidade digital. Se o mesmo nome de usuário for usado em contas de redes sociais, jogos, fóruns, educação, viagens ou compras, o risco de associação entre perfis aumenta. Os usuários não devem clicar diretamente em links inesperados, devem verificar as movimentações da conta pelos domínios que conhecem, adotar senhas exclusivas nas contas em que reutilizam a mesma senha e ativar a autenticação multifator sempre que possível. Os usuários devem verificar com cuidado as solicitações inesperadas de verificação que incluam as mesmas informações verificadas de contato ou perfil.

Para as instituições, um registro da SuperHry é importante para entender em que contexto os endereços de e-mail ou as contas pessoais dos funcionários aparecem em serviços externos. Se um funcionário tiver usado seu e-mail corporativo nesses serviços, os invasores poderão usar as mesmas informações em mensagens que simulem solicitações de suporte, notificações de faturas, verificações de conta ou comunicações internas. As equipes de segurança devem monitorar não apenas vazamentos que contenham senhas, mas também os campos verificados no registro relativos à identidade, à conta, à comunicação e ao contexto de uso, considerando os riscos de engenharia social.

O registro do vazamento de dados da SuperHry se limita, portanto, aos campos respaldados pelas informações disponíveis, mas deve ser tratado como um registro que exige atenção quanto ao impacto na segurança. A abordagem mais adequada para os usuários é verificar os links recebidos por um canal independente, atualizar as opções de recuperação de conta, conferir outras contas em que as mesmas informações são usadas e não aprovar precipitadamente solicitações inesperadas de verificação ou pagamento. Esta página foi atualizada para que os usuários que pesquisam sobre o vazamento de dados da SuperHry possam entender, sem exageros, o número de registros, os campos de dados e as medidas prioritárias de proteção.

Esta última conferência do registro da SuperHry busca garantir que a lista de campos de dados permaneça coerente com a descrição visível ao usuário. Quem faz a pesquisa deve encontrar nesta página apenas os tipos de dados respaldados pelas informações disponíveis; alegações adicionais que extrapolem esses campos não devem ser incluídas apenas para fazer o risco parecer maior. Essa abordagem ajuda os usuários individuais a escolher a medida de segurança adequada e ajuda as organizações a distinguir quais dados de funcionários estão realmente em risco. O escopo atual da categoria de dados se limita aos seguintes campos: Nomes de usuário, Endereços de e-mail, Endereços IP, Gêneros, Nomes, Idiomas falados.