Vazamento de dados da TigTag em 2021

Quando os campos visíveis no registro da TigTag são avaliados em conjunto, o risco não decorre apenas de um único tipo de dado. Quando endereços de e-mail, nomes de usuário, informações de hash de senhas, dados de senhas e datas de criação de contas estão presentes no mesmo perfil de usuário, os invasores podem preparar mensagens mais personalizadas e convincentes. Informações de contato verificadas ou identificadores de conta ou perfil presentes no registro aumentam o risco de engenharia social e de associação entre perfis. O contexto adicional das contas incluído no registro pode ajudar mensagens falsas a parecerem parte de um processo legítimo do serviço.

Os principais riscos destacados neste incidente são cenários de phishing, tomada de controle de contas e engenharia social. Os invasores podem combinar campos do registro ao preparar alertas falsos sobre contas, redefinições de senha, renovações de assinatura, notificações de suporte ou mensagens de verificação de segurança. Incluir na mensagem detalhes de conta que realmente existem no registro pode reduzir a cautela do usuário em relação à segurança. Portanto, mesmo que o registro não contenha uma senha, o risco de associação entre perfis e fraude direcionada permanece; se houver um campo de senha, o risco aumenta ainda mais, pois a mesma senha ou uma semelhante pode ser testada em outros serviços.

O primeiro passo para os usuários da TigTag é comparar os campos contidos neste registro com seus próprios hábitos de uso das contas. Se as mesmas informações verificadas de conta ou contato tiverem sido usadas em outros serviços, as mensagens recebidas devem ser avaliadas considerando a identidade digital como um todo. Se o mesmo nome de usuário também for usado em contas de redes sociais, jogos, fóruns, educação, viagens ou compras, o risco de associação entre perfis aumenta. Os usuários não devem clicar diretamente em links inesperados, devem conferir as operações da conta por meio de domínios conhecidos, adotar senhas exclusivas nas contas em que a mesma senha é reutilizada e ativar a autenticação multifator sempre que possível. No caso de registros que contenham informações de hash de senhas, os padrões de senhas antigas também devem ser revistos; é preferível usar senhas longas e totalmente exclusivas, em vez de fazer pequenas alterações de caracteres.

Para as instituições, o registro da TigTag é importante para entender em que contexto de dados os e-mails ou as contas pessoais dos funcionários aparecem em serviços externos. Se um funcionário tiver usado seu e-mail corporativo nesses serviços, os invasores poderão usar as mesmas informações em mensagens que imitem solicitações de suporte, notificações de faturas, verificações de conta ou comunicações internas. As equipes de segurança devem monitorar não apenas vazamentos que contenham senhas, mas também os campos de identidade, conta, comunicação e contexto de uso verificados no registro, considerando-os um risco de engenharia social.

O registro do vazamento de dados da TigTag, portanto, limita-se aos campos com respaldo, mas deve ser tratado como um registro que exige atenção quanto ao impacto na segurança. A abordagem mais adequada para os usuários é verificar os links recebidos por um canal independente, atualizar as opções de recuperação de conta, conferir outras contas que usem as mesmas informações e evitar aprovar precipitadamente solicitações inesperadas de verificação ou pagamento. Esta página foi atualizada para que os usuários que pesquisam sobre o vazamento de dados da TigTag possam entender, sem exageros, o número de registros, os campos de dados e as medidas prioritárias de proteção.

Esta verificação final do registro da TigTag tem como objetivo garantir que a lista de campos de dados permaneça alinhada à descrição visível ao usuário. Quem faz a pesquisa deve ver nesta página apenas os tipos de dados com respaldo; alegações adicionais sobre campos sem respaldo não devem ser incluídas apenas para fazer o risco parecer maior. Essa abordagem ajuda os usuários individuais a escolher a medida de segurança adequada e também ajuda as organizações a distinguir quais dados dos funcionários podem realmente estar em risco. A abrangência atual das categorias de dados limita-se aos seguintes campos: endereços de e-mail, nomes de usuário, metadados de hash de senhas, senhas e datas de criação de contas.