Vazamento de dados de TheGradCafe

A combinação de nome de usuário, e-mail, nome e localização pode permitir associar a identidade usada na comunidade on-line ao perfil de uma pessoa real. O campo de senha em hash também representa um risco para outras contas caso haja reutilização de senhas. Campos como endereço IP e endereço físico tornam mais visíveis o comportamento on-line do usuário e o contexto de sua localização.

Quando campos como nome, e-mail, telefone ou endereço são reunidos, invasores podem abordar o usuário como se houvesse uma relação legítima de prestação de serviços. Essas informações, por si só, não comprovam que uma conta tenha sido tomada por terceiros; no entanto, oferecem um ponto de partida sólido para mensagens falsas de suporte, notificações de entrega, tentativas de redefinição de senha e golpes personalizados. Como os dados estão relacionados ao processo de inscrição, formação e candidatura, comunicações falsas de universidades, orientações sobre admissão, cobranças de taxas de candidatura, notificações sobre bolsas de estudo ou mensagens de verificação de conta podem parecer mais convincentes. Embora não se espere que todas as linhas contenham números de telefone e endereços físicos, esses campos podem aparecer em alguns registros.

A data do incidente é 26 de fevereiro de 2023, e o número de contas afetadas consta como 310.975. Os registros de segurança indicam que dados pessoais de usuários do TheGradCafe foram expostos, que as senhas foram encontradas em formato de hash gerado com bcrypt e que alguns registros também podem conter campos adicionais, como número de telefone, endereço físico e data de nascimento. As categorias de dados existentes são compatíveis com as principais áreas de risco.

Ao explicar o escopo, não se deve afirmar que as senhas estão em texto simples. Uma senha em hash ainda representa um risco se for reutilizada. Além disso, este registro não significa que todos os resultados de candidaturas ou todas as mensagens privadas tenham sido vazados; ele deve ser avaliado no âmbito das contas de usuário, dos perfis e das áreas de comunicação.

Estão em risco os usuários que criaram uma conta no TheGradCafe durante o processo de candidatura à pós-graduação, compartilharam suas experiências de candidatura ou apareceram com seu nome de usuário em áreas semelhantes a fóruns. Quem usa o mesmo nome de usuário em outras plataformas acadêmicas pode ser identificado com mais facilidade.

Durante o período de candidatura, os usuários podem estar mais receptivos a mensagens sobre temas sensíveis, como bolsas de estudo, admissão, vistos, consultoria ou taxas de candidatura. Se os dados de localização geográfica e IP forem combinados com o contexto da instituição de ensino local ou do país, mensagens direcionadas podem parecer mais realistas.

Os usuários cujos dados correspondam aos deste registro devem alterar a senha da conta no TheGradCafe e de todas as contas em que a mesma senha seja usada. Contas de e-mail, portais de candidatura a universidades e plataformas educacionais em que são feitos pagamentos devem ser verificados primeiro. A autenticação de dois fatores deve ser ativada sempre que possível.

Em vez de abrir diretamente os links recebidos, o usuário deve acessar o serviço pelo endereço de internet ou aplicativo que já conhece. O fato de alguém que liga saber o nome, e-mail, endereço ou informações sobre transações anteriores não comprova que essa pessoa seja confiável. Códigos de verificação de uso único, dados de cartões de pagamento ou senhas de contas não devem ser compartilhados em nenhuma conversa de suporte.

No longo prazo, o uso de um gerenciador de senhas, senhas exclusivas, autenticação de dois fatores nas contas que oferecem esse recurso e o hábito de remover informações pessoais desnecessárias das contas reduzem o risco. Reutilizar o mesmo endereço de e-mail em diferentes plataformas facilita o cruzamento de dados de diferentes vazamentos; por isso, vale considerar o uso de endereços de e-mail separados ou aliases para contas críticas.

Como os nomes de usuário usados em comunidades acadêmicas podem ser facilmente associados a identidades reais, os usuários devem reduzir o compartilhamento desnecessário de informações pessoais em perfis de fóruns. Contas antigas de candidatura devem ser encerradas, informações pessoais previsíveis devem ser removidas das respostas às perguntas de segurança, e os portais de candidatura devem ser protegidos com senhas distintas.

A consulta no LeakData mostra se o endereço de e-mail pesquisado consta neste registro. Um resultado positivo não significa necessariamente que todos os campos de dados pertençam, de forma definitiva, àquele usuário; no entanto, deve ser considerado um alerta suficiente para a adoção de medidas preventivas. Um resultado negativo indica apenas que não há correspondência neste conjunto de dados e não descarta a possibilidade de o endereço aparecer em outros vazamentos.

Um resultado positivo exige cautela, especialmente com mensagens relacionadas a candidaturas a instituições de ensino e à segurança da conta. Um resultado negativo significa que não há correspondência neste registro; a possibilidade de o mesmo endereço de e-mail aparecer em outras plataformas educacionais também deve ser verificada separadamente.