Vazamento de dados de SuperVPN & GeckoVPN

As categorias de dados confirmadas são endereços de e-mail, informações sobre dispositivos, números de série de dispositivos, números IMSI, localizações geográficas e históricos de acesso. O campo de localização geográfica representa o país de onde ocorreu um acesso; ele não comprova que coordenadas GPS precisas tenham sido expostas. Os históricos de acesso podem mostrar as datas e os horários em que uma pessoa acessou o serviço. Um endereço de e-mail pode ser usado para contato direto e para associar contas entre si, aumentando a probabilidade de phishing direcionado. Identificadores persistentes, como números de série e IMSI, podem facilitar a vinculação de registros distintos ao mesmo dispositivo. Senhas, nomes de usuário, nomes completos e dados de pagamento não estão entre as categorias verificadas neste conjunto de dados. Por isso, as alegações iniciais sobre esses campos não são apresentadas aqui como exposição confirmada.

A data de referência do incidente é 25 de fevereiro de 2021. A cobertura inicial, publicada no dia seguinte, descreveu um usuário de fórum que oferecia à venda arquivos associados a vários serviços gratuitos de VPN para Android. O conjunto de 20.339.937 registros únicos de e-mail, verificado posteriormente, foi catalogado sob os nomes SuperVPN e GeckoVPN; um pequeno número de registros associados a um terceiro aplicativo de VPN apareceu no mesmo arquivo, sugerindo que os serviços talvez compartilhassem uma plataforma ou infraestrutura de dados. A alegação original de venda mencionava bancos de dados acessíveis publicamente e credenciais de acesso padrão, mas esse método de acesso não foi comprovado de forma independente como a causa definitiva. O registro é classificado como um vazamento verificado, não como uma compilação de credenciais, dados gerados por malware de roubo de informações ou uma alegação sustentada apenas por uma publicação de fórum não verificada.

As pessoas mais expostas ao risco são aquelas que usaram o aplicativo SuperVPN ou GeckoVPN para Android até o início de 2021 e se conectaram ao serviço com um endereço de e-mail. Quem usou o mesmo endereço em outras contas pode receber mensagens mais convincentes que mencionem o uso de VPN. As informações sobre o país e os registros de data e hora dos acessos poderiam ajudar um golpista a adaptar uma mensagem a temas como viagens, problemas de conexão ou renovação de assinatura. Um modelo de dispositivo, número de série ou IMSI não revela, por si só, a senha de uma conta, mas pode reforçar tentativas de engenharia social destinadas a dar a impressão de que o remetente já conhece o usuário ou o dispositivo. Coordenadas GPS precisas, conteúdo de mensagens, histórico de navegação e tráfego de internet transmitido pela VPN não fazem parte do escopo confirmado e não devem ser inferidos a partir deste registro.

Sua primeira prioridade é verificar a conta de e-mail associada ao SuperVPN ou GeckoVPN em busca de sessões desconhecidas, alertas de segurança e solicitações inesperadas de redefinição de senha. Ative a autenticação multifator na conta de e-mail e prefira um aplicativo autenticador, uma chave de acesso ou uma chave de segurança física ao SMS, quando essas opções estiverem disponíveis. Se o aplicativo ainda estiver instalado, confirme sua versão e seu desenvolvedor na loja oficial de aplicativos; remova-o se não precisar mais dele e, em seguida, revise as permissões dos aplicativos Android e os perfis de VPN salvos para identificar acessos que possam ter permanecido. Mesmo assim, você deve substituir qualquer senha fraca ou reutilizada da conta de e-mail relacionada por uma senha forte e exclusiva. Não siga links em mensagens que aleguem oferecer suporte para VPN, renovação de assinatura, verificação de dispositivo ou reembolsos; inicie qualquer ação legítima pela página da loja de aplicativos que você salvou ou por outro canal verificado do serviço.

Não escolha uma VPN apenas porque ela tem um grande número de instalações ou é anunciada como gratuita. Verifique se o provedor identifica a pessoa jurídica responsável, mantém um suporte acessível, publica uma política de privacidade atualizada, passa por uma avaliação de segurança independente e tem um processo para notificar os usuários sobre incidentes. Uma declaração de que o serviço “não mantém registros” não é suficiente por si só; leia quais dados ele coleta para criação de contas, diagnósticos, publicidade e funções de assinatura. Mantenha os alertas de acesso ativados na sua conta de e-mail e confira periodicamente o endereço e o número de telefone de recuperação. Um IMSI ou número de série de dispositivo não pode ser alterado como uma senha. Por isso, conhecer qualquer um desses valores nunca deve ser considerado prova de que uma ligação ou mensagem é legítima. Se sua operadora de telefonia móvel oferecer um PIN adicional ou um código de segurança para a conta, ative-o como mais uma camada de proteção contra tentativas de troca fraudulenta de SIM e tomada de controle da conta.

Para saber se você aparece no registro de SuperVPN & GeckoVPN, consulte cada endereço de e-mail que possa ter usado em um dos serviços por meio de uma ferramenta confiável de busca em vazamentos. Trate um resultado correspondente como evidência de que o endereço consta no conjunto de dados verificado junto com metadados de dispositivo e acesso, não como prova de que sua senha foi obtida. Inclua endereços antigos, pois um endereço alterado após 2021 ainda pode estar presente no registro histórico. Ativar alertas contínuos de vazamento ajudará você a responder mais rapidamente se o mesmo endereço for encontrado em outro incidente no futuro. Nunca insira um IMSI ou número de série de dispositivo em um formulário de consulta de vazamentos e não divulgue esses identificadores a quem entrar em contato por telefone ou mensagem sem que você tenha solicitado. Use os resultados apenas para tomar decisões sobre a segurança da sua própria conta, não para inferir a atividade de outra pessoa em uma VPN nem para consultar endereços de outras pessoas sem permissão.