V-Tight Gel Suposta exposição de dados

Os campos de dados verificados são endereços de e-mail, endereços IP, nomes, números de telefone e endereços físicos. O endereço de e-mail é o principal meio de contato com o usuário; combinado com um número de telefone, ele permite criar um perfil mais completo do alvo para fraudes por SMS, chamadas e recuperação de contas. Juntos, o nome e o endereço físico permitem que invasores preparem mensagens personalizadas sobre entregas, cobranças, produtos de saúde, assinaturas ou devoluções. O endereço IP pode fornecer pistas adicionais sobre a região aproximada e o ambiente de acesso à internet.

Essa combinação de dados tem um impacto elevado mesmo sem incluir dados de cartões de pagamento, pois endereços, nomes e números de telefone são informações que não podem ser alteradas facilmente. Em especial, um conjunto de dados relacionado a categorias sensíveis de cuidados pessoais ou produtos adultos pode trazer riscos à privacidade e à reputação dos usuários. Invasores podem tornar suas mensagens convincentes ao mostrar parte de um nome ou endereço real. Por isso, o vazamento da V-Tight Gel deve ser avaliado não apenas em relação à segurança do e-mail, mas também à segurança do telefone e do endereço.

A data do incidente foi registrada como 13 de fevereiro de 2016. O número de contas afetadas parece ser de 2.013.164, e a data de inclusão na lista foi verificada como 17 de novembro de 2017. A data de modificação também corresponde ao mesmo dia, 17 de novembro de 2017, às 07:47:39 UTC. Essa distinção é importante: o momento do vazamento não deve ser confundido com o momento em que o conjunto de dados é posteriormente adicionado a listas de segurança. A data apresentada ao usuário para a V-Tight Gel deve representar o período em que o incidente realmente ocorreu.

No incidente da V-Tight Gel, senhas, dados de cartões de pagamento, números de documentos oficiais de identificação, datas de nascimento, histórico de compras e conteúdo de mensagens privadas não estão entre os campos de dados verificados. O escopo deve se limitar aos campos de e-mail, IP, nome, telefone e endereço físico. O incidente deve permanecer classificado como não verificado: embora existam exemplos de informações pessoais corretas nos dados, foi relatado que não houve uma resposta clara do responsável pelo serviço, e a origem de todo o conjunto de dados não está confirmada. Ainda assim, a classificação como sensível deve ser mantida, pois associar uma pessoa a esse tipo de produto ou serviço pode causar danos.

As pessoas em maior risco são aquelas que usam o mesmo endereço de e-mail em contas de compras, saúde, redes sociais ou trabalho. Quando um número de telefone e um endereço são encontrados junto com o endereço de e-mail, invasores podem enviar mensagens que parecem muito mais pessoais para o usuário. Por exemplo, assuntos como entregas, devoluções, dívidas, assinaturas ou lembretes sobre produtos podem parecer reais. As informações de endereço exigem atenção não apenas à segurança on-line, mas também à privacidade física.

Também há riscos à reputação e de pressão sobre pessoas que possam ser associadas a produtos sensíveis de cuidados pessoais. Invasores podem enviar mensagens por e-mail ou telefone na tentativa de constranger o usuário. Essas mensagens podem incluir pedidos de pagamento, tentativas de induzir cliques em links ou a abertura de anexos, ou solicitações de mais informações pessoais. Se um e-mail corporativo ou telefone de trabalho tiver sido usado, o risco ultrapassa a esfera pessoal e pode se transformar em um risco de segurança corporativa e de engenharia social.

Se você obtiver um resultado positivo para a V-Tight Gel, deve primeiro proteger suas contas de e-mail. Use senhas fortes e exclusivas, autenticação de dois fatores e monitoramento das sessões ativas na conta de e-mail. Embora nenhuma senha esteja listada como verificada neste incidente, os cuidados com senhas não devem ser negligenciados, pois o mesmo endereço de e-mail pode estar envolvido em outros vazamentos. Antes de clicar em links de mensagens de texto enviadas ao seu número de telefone, verifique cuidadosamente o remetente e o assunto.

Mensagens inesperadas que contenham endereço, telefone ou nome não devem ser consideradas confiáveis automaticamente. Ao receber mensagens sobre envio de encomendas, pagamentos, devoluções, cadastros ou produtos de saúde, acesse diretamente sua própria conta para verificar a situação. É mais seguro digitar o endereço manualmente no navegador do que clicar em links no e-mail. Se receber mensagens com chantagem ou ameaças, não faça pagamentos, salve capturas de tela e informações do remetente e, se necessário, informe a equipe de segurança da instituição ou o canal de suporte pertinente.

No longo prazo, pode ser mais seguro não usar seu endereço de e-mail principal para produtos sensíveis ou nas categorias de saúde e cuidados pessoais. Endereços de e-mail separados e poucas informações no perfil dificultam a associação de diferentes vazamentos de dados a uma única pessoa. Não compartilhe seu número de telefone em cadastros que não o exijam. Informe seu endereço apenas em transações que realmente necessitem de entrega e remova periodicamente os endereços armazenados em contas antigas.

Monitore regularmente os alertas de segurança associados ao seu e-mail e aos seus números de telefone. Quando informações difíceis de alterar, como endereços e números de telefone, são expostas, o risco pode durar anos. Por isso, trocar a senha uma única vez não é suficiente; a atenção ao phishing, a autenticação de dois fatores, o uso de e-mails separados, a redução de informações desnecessárias no perfil e o encerramento de contas antigas devem se tornar hábitos permanentes. Fornecer o mínimo de informações a serviços sensíveis é a defesa mais prática.

Números de pessoas afetadas, campos de dados e alegações de agentes maliciosos que não tenham sido verificados não são considerados parte do escopo público do incidente. Um resultado positivo significa que seu nome, e-mail, telefone, endereço ou IP podem estar associados a esse conjunto de dados. O primeiro passo é reforçar a segurança do e-mail e do telefone; o segundo é ter cautela com mensagens falsas que contenham endereços; e o terceiro é revisar as contas sensíveis abertas com o mesmo e-mail.

Neste incidente, o impacto total confirmado é de 2.013.164 contas, e o risco se concentra mais nas informações de contato pessoal e na privacidade do que em registros financeiros. Se o resultado for positivo, verifique as sessões do seu e-mail, ative a autenticação de dois fatores, tenha cuidado com golpes por SMS e chamadas e não tome nenhuma medida em resposta a mensagens inesperadas que contenham endereços sem antes verificá-las. O vazamento da V-Tight Gel mostra que as informações compartilhadas em contas voltadas a cuidados pessoais e vida saudável podem ter efeitos de longo prazo sobre a privacidade.