Vazamento de dados de Tokopedia

Neste incidente, dados de identificação, como endereço de e-mail, nome completo, gênero e data de nascimento, foram expostos junto com hashes de senhas. A combinação de e-mail e nome completo torna mais convincentes as mensagens falsas sobre campanhas promocionais, pedidos, devoluções, envios ou contas em lojas. A data de nascimento e as informações de gênero ajudam os invasores a criar mensagens personalizadas. Embora os hashes de senhas sejam protegidos com SHA2-384, se a mesma senha for reutilizada em serviços diferentes, os invasores poderão tentar usar senhas obtidas por quebra de hash ou adivinhação em outros sites. Portanto, o risco não deve ser considerado restrito à conta da Tokopedia; também é preciso considerar outras contas de compras, pagamentos, redes sociais e e-mail que usam o mesmo endereço de e-mail.

A data registrada para o vazamento é 17 de abril de 2020, a data de inclusão inicial do registro é 2 de maio de 2020 e a data de atualização é 17 de julho de 2020. O escopo principal usado pela LeakData é de 71.443.698 endereços de e-mail únicos. Alguns relatos mencionam um arquivo inicial com 15 milhões de linhas e, posteriormente, afirmam que havia cerca de 91 milhões de registros brutos; esses números podem diferir do total de e-mails únicos devido a linhas duplicadas, campos ausentes ou registros sem e-mail. O número apresentado a você nesta página corresponde ao total de endereços de e-mail únicos, que é relevante como resultado de busca. As categorias confirmadas se limitam a data de nascimento, e-mail, gênero, nome e hashes de senhas; dados de instrumentos de pagamento não estão incluídos no escopo desta busca.

O risco é maior para pessoas que abriram uma conta na Tokopedia antes de 2020, usaram os serviços de compras ou de vendas, usaram o mesmo endereço de e-mail em outros serviços e reutilizaram a senha. Usuários de serviços de comércio eletrônico sediados na Indonésia devem ter mais cautela com mensagens sobre status de pedidos, devoluções, confirmação de pagamento, verificação de conta e cupons promocionais. Para quem tem uma conta de vendedor, o risco pode aumentar por meio de mensagens de clientes, do painel da loja, de notificações de pagamento e de solicitações falsas de suporte. Se o mesmo endereço de e-mail também for usado em uma conta bancária, de transportadora, de rede social ou de trabalho, os invasores poderão combinar essas informações para tentar acessar contas e realizar phishing direcionado.

Altere imediatamente a senha da conta da Tokopedia e de quaisquer outras contas criadas com a mesma senha. Prefira uma senha única, longa e aleatória para cada conta, use um gerenciador de senhas e ative a autenticação multifator nas contas críticas. Examine com cuidado os e-mails sobre pedidos, envios, descontos, devoluções, bloqueio de conta ou verificação de pagamento. Em vez de clicar nos links da mensagem, digite manualmente o domínio oficial e não compartilhe códigos de uso único com ninguém por telefone ou mensagem. Se você usa uma conta de vendedor, verifique também as sessões do painel da loja, os dispositivos autorizados e as configurações de pagamento. Se houver uma notificação de login suspeito, encerre as sessões e inicie a redefinição de senha por um canal confiável.

O risco persistente em violações de dados no comércio eletrônico decorre do uso de dados de perfil de clientes em conjunto com listas de senhas e mensagens de phishing. Revise regularmente suas contas antigas em lojas, encerre as contas que não usa, reduza as permissões de marketing e use verificação adicional nas contas críticas criadas com o mesmo endereço de e-mail. Do ponto de vista das organizações, a quantidade de dados de clientes mantidos deve ser mínima, os algoritmos de hash de senhas devem ser robustos e atualizados, sais criptográficos e controles adicionais de proteção devem ser aplicados, e exportações incomuns e consultas de grande volume devem ser monitoradas por sistemas de alerta precoce. As notificações aos usuários devem ser claras, incluir a data e explicar explicitamente as categorias de dados, para que os usuários saibam quais contas verificar.

Você pode verificar se o seu endereço de e-mail aparece no vazamento de dados da Tokopedia fazendo uma consulta na LeakData. Se houver uma correspondência, priorize primeiro sua conta da Tokopedia e, depois, outras contas que usam o mesmo e-mail ou a mesma senha. Além de alterar a senha, é importante ativar a autenticação multifator, verificar o histórico de sessões e remover as autorizações de dispositivos antigos. Desconfie mais de mensagens que contenham detalhes pessoais, devido à exposição da sua data de nascimento e do seu nome. Ao receber links inesperados sobre entregas, devoluções, verificação de conta ou campanhas promocionais, acesse o site oficial por conta própria antes de inserir suas informações. Essas medidas reduzem a probabilidade de que os dados de 2020 sejam usados hoje para testar o acesso a contas, enviar notificações falsas de compras e praticar fraudes direcionadas.