Vazamento de dados de Switch

Os tipos de dados listados neste incidente são: endereços de e-mail, candidaturas a vagas, nomes e perfis em redes sociais. Quando candidaturas e informações de perfis sociais são encontradas juntas, é possível preparar mensagens direcionadas relacionadas à situação profissional atual de uma pessoa. O uso conjunto desses campos pode resultar em tomada de controle de contas, engenharia social, fraudes, ações direcionadas contra a pessoa no mundo físico ou violações de privacidade.

Neste registro, o campo de senha não está listado; o risco se concentra mais na privacidade da carreira, no perfil do candidato e em fraudes de recrutamento. Em registros que contêm senhas, usar a mesma senha ou uma senha semelhante em outros serviços é um dos riscos mais críticos. Em registros que não contêm senhas, campos como dispositivo, localização, telefone, endereço, educação, candidatura a vaga ou contexto financeiro podem tornar as mensagens direcionadas mais convincentes.

O registro abrange aproximadamente 5.400 registros de candidatos ou clientes associados ao domínio switchit.hu. O incidente está classificado como um registro confirmado. Na avaliação do escopo, o número de contas, o domínio, o setor, o país e as categorias de dados foram conferidos separadamente. Os campos de dados exibidos a você foram limitados aos campos efetivamente listados no registro.

O setor foi corrigido de tecnologia para recrutamento de profissionais de TI e busca ativa de talentos. Essa distinção é especialmente importante quando há nomes de marcas semelhantes, registros que abrangem vários serviços ou setores sensíveis. O registro não foi combinado com outro incidente nem ampliado de forma a criar registros duplicados, e o contexto da empresa foi esclarecido tanto quanto possível.

Candidatos que se inscrevem em vagas pela Switch, profissionais de TI e pessoas cujos perfis sociais estão vinculados à candidatura estão em risco. O principal risco para essas pessoas é o cruzamento dos campos de dados vazados com informações comuns usadas em outras contas. Quando o mesmo endereço de e-mail, número de telefone, nome de usuário, ID de dispositivo ou senha se repete, invasores podem tentar usar essas informações em diferentes serviços.

No contexto de contratação, essas informações podem ser usadas indevidamente em falsas ofertas de emprego, negociações salariais, solicitações de documentos ou mensagens com links para entrevistas. Para usuários corporativos, destacam-se os e-mails profissionais e as informações sobre tarefas; para usuários individuais, destacam-se o endereço, a data de nascimento e o contexto de compras, localização ou vínculos associativos. Em áreas como educação, telecomunicações, finanças, viagens, política, candidaturas a vagas e VPNs, o próprio contexto também pode aumentar o risco de ser alvo de ações direcionadas.

Se você foi afetado, verifique suas contas de candidatura e seus e-mails profissionais e confirme a autenticidade de ofertas de emprego inesperadas ou solicitações de envio de documentos. Se houver uma senha ou um campo semelhante a uma senha na lista de dados, altere-a em todas as contas nas quais você usa a mesma senha, use uma senha exclusiva e ative a autenticação multifator sempre que possível. Tomar medidas em uma única plataforma pode não ser suficiente.

Se houver campos como telefone, endereço, data de nascimento, ID de dispositivo, identificação oficial, candidatura a vaga ou saldo de recompensas, verifique as informações de recuperação da conta, as sessões registradas, o encaminhamento de e-mails e as mensagens suspeitas. As instituições devem atualizar seus processos para lidar com alertas a funcionários, faturas falsas e tentativas de verificação de contas.

Candidatos devem compartilhar o mínimo possível de seus perfis sociais pessoais em candidaturas a vagas, usar senhas diferentes nas plataformas de recrutamento e ter cuidado ao compartilhar documentos. No longo prazo, um gerenciador de senhas, senhas exclusivas, autenticação multifator, encerramento de contas antigas, exclusão de campos desnecessários dos perfis e minimização de dados formam a base da segurança. Como os dados pessoais permanentes não podem ser recuperados, a proteção depende de reforçar os hábitos de segurança no uso das contas.

Para empresas e instituições, devem ser reavaliados o inventário pós-incidente, as permissões de acesso, o armazenamento de dados antigos, os processos de notificação e o uso de plataformas de terceiros. Para você, evitar repetir as mesmas informações de identidade em diferentes serviços e criar o hábito de verificar comunicações suspeitas por um segundo canal oferecem proteção duradoura.

Você deve verificar se os perfis sociais e o histórico de candidaturas compartilhados em inscrições para vagas correspondem a este registro. Se encontrar uma correspondência, primeiro confira quais campos de dados estão listados e, em seguida, priorize as medidas de acordo com esses campos. Se houver senha, priorize a troca da senha; se houver identificação oficial, o monitoramento da identidade; se houver informações de localização ou de dispositivo, a segurança do dispositivo; se houver dados de educação ou candidaturas a vagas, a verificação das contas institucionais.

Avaliação final: embora este registro não contenha senha, trata-se de um incidente envolvendo dados sensíveis de carreira, devido ao contexto de candidaturas a vagas e perfis sociais. Compare este registro com o histórico das suas contas e verifique, um por um, os serviços em que você usou o mesmo e-mail, número de telefone, nome de usuário ou senha. Após o incidente, comunicações inesperadas (como ligações, mensagens, e-mails ou notificações de recuperação de conta) devem ser consideradas de maior risco.