Vazamento de dados de Verifications.io

Entre as categorias de dados cuja exposição foi confirmada no incidente do Verifications.io estão datas de nascimento, endereços de e-mail, informações sobre empregadores, gênero, localizações geográficas, endereços IP, cargos, nomes e sobrenomes, números de telefone e endereços físicos. Esses campos, por si só, não permitem acesso direto comparável ao obtido com senhas de contas. No entanto, quando usados em conjunto, aumentam o risco de engenharia social sofisticada, phishing direcionado, spam, golpes por telefone e falsificação de identidade corporativa. Em particular, reunir nome, cargo, empregador, e-mail e telefone no mesmo perfil permite que invasores criem mensagens mais convincentes.

Neste conjunto de dados, não há um vazamento de senhas confirmado. Essa distinção é importante porque a primeira medida do usuário não se resume a trocar a senha: também é preciso ter cautela com ofertas falsas, falso suporte, faturas falsas e tentativas de fraude relacionadas ao trabalho que podem usar informações pessoais e profissionais. Campos como data de nascimento e endereço físico podem servir como pistas úteis em alguns serviços que utilizam perguntas de verificação de identidade ou processos de atendimento ao cliente. Já o número de telefone pode facilitar golpes por chamadas de voz e SMS.

Endereços IP e informações de localização geográfica podem ajudar a identificar a região aproximada do usuário ou sua conexão com um provedor de internet. Embora essas informações, isoladamente, não sejam consideradas dados de localização precisa, quando combinadas com nome e informações profissionais, podem ser usadas para enriquecer perfis. A presença de endereços de e-mail no contexto de serviços de verificação sugere que eles podem ser considerados ativos e utilizáveis para fins de marketing. Isso torna provável que se observe um aumento no volume de spam e de e-mails direcionados após um vazamento.

O escopo verificado confirma que a exposição de dados do Verifications.io, revelada em 25 de fevereiro de 2019, afetou 763.117.241 contas únicas, que o incidente foi incluído nos registros de vazamentos de dados verificados em 9 de março de 2019 e que as categorias de dados se limitam aos campos pessoais e profissionais listados acima. O incidente deve ser avaliado no contexto da verificação de e-mails e dos dados de marketing. Grande parte dos dados pode ter vindo não de usuários que criaram contas no Verifications.io de forma consciente, mas do processo de verificação e tratamento de listas coletadas em diferentes fluxos de marketing.

Portanto, a presença de um endereço de e-mail nos resultados do Verifications.io não indica de forma definitiva que o usuário seja membro desse serviço ou tenha tido uma relação direta como cliente do Verifications.io. Uma interpretação mais precisa é que o endereço em questão estava incluído em conjuntos de dados de marketing ou verificação e pode ter sido exposto junto com informações pessoais. Essa limitação também muda a orientação ao usuário: além da recuperação de contas com foco em senhas, devem ser considerados os riscos de uso indevido de informações pessoais e de comunicações direcionadas.

Os campos vazados descritos no registro não incluem senhas, dados de cartões de pagamento ou números de documentos oficiais de identificação. Ainda assim, o número muito elevado de registros e a combinação de campos de perfil tornam a situação crítica. Uma avaliação incorreta pode fazer o incidente parecer apenas uma lista de e-mails comum; uma avaliação ampla demais gera alegações não verificadas sobre senhas ou dados financeiros. A abordagem correta é se basear nos campos verificados e orientar o usuário com medidas de segurança claras, práticas e proporcionais.

O principal grupo de risco é formado por usuários cujos endereços de e-mail profissionais ou pessoais estão incluídos em listas de marketing. Serviços de verificação de e-mails como o Verifications.io costumam processar listas de campanhas de diferentes empresas, por isso é normal que a pessoa afetada não reconheça o serviço. Mesmo que o usuário acredite nunca ter interagido com o domínio em questão, seu endereço de e-mail pode ter sido incluído em listas de terceiros. Essa situação é especialmente importante para pessoas incluídas em listas de campanhas, vendas, eventos, newsletters ou potenciais clientes.

O segundo grupo de risco é formado por funcionários cujas informações profissionais são expostas junto com seus dados de contato pessoais. Nome, sobrenome, empregador, cargo, telefone e e-mail fornecem aos invasores um contexto valioso para ataques direcionados no ambiente corporativo. Pessoas que trabalham nas áreas de finanças, recursos humanos, compras, suporte, vendas e em equipes executivas devem ter mais cautela com situações como faturas falsas, falsos fornecedores, solicitações falsas em nome de executivos ou convites para reuniões. Este incidente não comprova que os sistemas das empresas tenham sido invadidos; no entanto, pode facilitar ataques direcionados a funcionários.

O terceiro grupo de risco é formado por pessoas para as quais há correspondência de endereço físico, data de nascimento ou número de telefone. Essas informações, por si só, não comprovam roubo de identidade; no entanto, tornam mais fácil para golpistas agir como se conhecessem a pessoa. Mensagens que chamam o usuário pelo nome ou fazem referência à sua localização ou ao seu local de trabalho podem parecer mais convincentes. Por isso, as pessoas afetadas devem avaliar com cuidado não apenas sua caixa de entrada de e-mail, mas também chamadas telefônicas, mensagens de texto e solicitações de conexão em redes sociais.

Usuários cujos dados correspondam aos deste incidente devem ter cautela com solicitações inesperadas recebidas por e-mail e telefone. Como não foi confirmado um vazamento de senhas, a prioridade é identificar armadilhas que envolvam cliques em links, pagamentos falsos, falso suporte, ofertas falsas de emprego e pedidos para completar informações pessoais. Em vez de clicar em links de e-mails, é recomendável digitar manualmente o endereço da instituição em questão no navegador, verificar o remetente por um canal separado antes de abrir arquivos anexos e examinar com cuidado os formulários que solicitam informações pessoais.

O segundo passo é revisar as configurações de segurança das contas importantes. A autenticação multifator deve ser ativada em contas de e-mail, serviços bancários, sites de compras, redes sociais e ferramentas de trabalho. No incidente do Verifications.io, mesmo sem confirmação de exposição de senhas, invasores poderiam usar informações pessoais para se mostrar convincentes em processos de redefinição de senha ou interações com o atendimento ao cliente. Por isso, devem ser verificados os e-mails e números de telefone de recuperação, as sessões abertas e a atividade recente de login.

O terceiro passo é monitorar o volume de spam e de mensagens de marketing. Um aumento de mensagens indesejadas nos endereços de e-mail afetados por este incidente não é surpreendente. Os usuários não devem clicar indiscriminadamente em links de cancelamento de inscrição de campanhas suspeitas; em vez disso, devem usar os recursos de denúncia de spam e bloqueio de aplicativos de e-mail confiáveis. Usuários corporativos podem priorizar medidas como comunicados de conscientização e simulações de phishing, verificando se um grande número de funcionários com o mesmo domínio foi afetado.

O quarto passo é manter registros para lidar com o uso indevido de informações pessoais. Chamadas suspeitas, solicitações de pagamento de faturas falsas, notificações inesperadas de contas e tentativas de autenticação devem ser anotadas com as respectivas datas. Essas informações são úteis tanto para o acompanhamento individual da segurança quanto para a resposta interna a incidentes. Se informações de endereço físico e telefone estiverem visíveis, os usuários devem ter mais cautela com alterações inesperadas em notificações sobre entregas, assinaturas, finanças e serviços públicos.

O vazamento do Verifications.io mostra que os dados dos usuários podem estar presentes em serviços com os quais eles não têm relação direta. Para a proteção de longo prazo, são medidas eficazes separar endereços de e-mail de acordo com a finalidade, usar endereços exclusivos ou aliases de e-mail para contas importantes e limitar permissões de marketing desnecessárias. Não compartilhar telefone pessoal e endereço em todos os formulários reduz a completude dos perfis em possíveis conjuntos de dados futuros. Essa abordagem dificulta que um único incidente afete toda a identidade digital.

Uma estratégia permanente para as instituições é monitorar regularmente a exposição dos e-mails de funcionários em vazamentos de dados externos e avaliar os resultados junto com os riscos para o negócio. Equipes de marketing, vendas e suporte podem naturalmente aparecer em mais listas externas, o que aumenta sua visibilidade para fraudes direcionadas. As empresas devem ampliar a cobertura de MFA, usar verificação por um segundo canal para aprovar transações financeiras e formalizar, em regras escritas, os processos de alteração de fornecedores e de solicitações de pagamento.

A minimização de dados também é uma das lições importantes deste incidente. As empresas não devem coletar campos pessoais de que não precisam em listas de potenciais clientes e de marketing, devem limitar os prazos de retenção e auditar regularmente os serviços de tratamento de dados de terceiros. Para os usuários, verificações regulares de vazamentos, filtros de spam, notificações de segurança e hábitos conscientes de compartilhamento devem ser adotados em conjunto. Mesmo que não seja possível evitar completamente os vazamentos de dados de marketing em larga escala, essas medidas podem reduzir seu impacto.

Se o seu endereço de e-mail aparecer no vazamento de dados do Verifications.io, não interprete isso como sinal de que você se cadastrou conscientemente nesse serviço. Esse resultado indica que seu endereço de e-mail e algumas informações pessoais ou profissionais podem ter sido incluídos em dados de verificação para marketing. A prioridade é entender quais campos apareceram e se preparar para mensagens que possam resultar do uso indevido desses campos.

Usuários de e-mail pessoal devem ter cautela com spam, falso suporte e mensagens de campanhas falsas; usuários corporativos devem monitorar tentativas de fraude direcionadas ao domínio da empresa. Mesmo sem confirmação de vazamento de senhas, usar MFA em contas importantes e verificar as configurações de segurança continua sendo uma boa medida de proteção. Verificações regulares dos registros ajudam a entender se o mesmo endereço de e-mail aparece em diferentes vazamentos e a determinar qual medida de segurança deve ser tomada primeiro.