Vazamento de dados da VIPOferta em 2021

Quando os campos visíveis no registro da VIPOferta são considerados em conjunto, o risco não decorre de um único tipo de dado. A presença de endereços de e-mail, nomes de usuário, endereços IP, informações de hash de senha, sais de senha e dados de senha no mesmo perfil de usuário permite que invasores preparem mensagens mais personalizadas e convincentes. As informações de contato e os identificadores de conta ou perfil verificados no registro aumentam o risco de engenharia social e de associação entre perfis. O contexto adicional sobre a conta presente no registro pode facilitar a criação de mensagens fraudulentas que aparentem fazer parte de um fluxo legítimo do serviço.

Os principais riscos destacados neste incidente são cenários de phishing, tomada de controle de contas e engenharia social. Invasores podem combinar os campos do registro ao preparar alertas falsos de conta, redefinições de senha, renovações de assinatura, notificações de suporte ou mensagens de verificação de segurança. O uso de detalhes da conta que realmente constam no registro pode reduzir a cautela do usuário. Portanto, mesmo que o registro não contenha uma senha, o risco de associação entre perfis e de fraudes direcionadas permanece; se houver um campo de senha, o risco aumenta ainda mais, pois a mesma senha ou uma semelhante pode ser testada em outros serviços.

Para os usuários da VIPOferta, o primeiro passo é comparar os campos deste registro com seus próprios hábitos de uso das contas. Se as mesmas informações verificadas de conta ou de contato foram usadas em outros serviços, as mensagens recebidas devem ser avaliadas considerando toda a identidade digital. Se o mesmo nome de usuário também for usado em contas de redes sociais, jogos, fóruns, educação, viagens ou compras, o risco de associação entre perfis aumenta. Os usuários não devem clicar diretamente em links inesperados; devem verificar as transações da conta por meio de domínios que reconheçam, adotar senhas exclusivas nas contas em que reutilizam a mesma senha e ativar a autenticação multifator sempre que possível. No caso de registros que contenham informações de hash de senha, os padrões de senhas antigas também devem ser revisados; é preferível usar senhas longas e totalmente exclusivas em vez de fazer pequenas alterações nos caracteres.

Para as instituições, um registro da VIPOferta é importante para entender em que contexto de dados os e-mails ou as contas pessoais dos funcionários aparecem em serviços externos. Se um funcionário usou seu e-mail corporativo nesses serviços, invasores podem usar as mesmas informações em mensagens que simulem solicitações de suporte, notificações de faturas, verificações de conta ou fluxos de comunicação interna. As equipes de segurança devem monitorar não apenas vazamentos que contenham senhas, mas também os campos verificados no registro relativos a identidade, conta, comunicação e contexto de uso, considerando-os um risco de engenharia social.

O registro do vazamento de dados da VIPOferta, portanto, limita-se aos campos respaldados pelas informações disponíveis, mas deve ser tratado como um registro que exige atenção por seu impacto na segurança. A abordagem mais adequada para os usuários é verificar os links recebidos por um canal independente, atualizar as opções de recuperação de conta, verificar outras contas em que as mesmas informações são usadas e evitar aprovar às pressas solicitações inesperadas de verificação ou pagamento. Esta página foi atualizada para que os usuários que pesquisam vazamentos de dados da VIPOferta possam entender, sem exageros, o número de registros, os campos de dados e as medidas de proteção prioritárias.

Esta verificação final do registro da VIPOferta tem o objetivo de garantir que a lista de campos de dados permaneça coerente com a descrição visível ao usuário. Quem faz a pesquisa deve encontrar nesta página apenas os tipos de dados respaldados pelas informações disponíveis; não devem ser acrescentadas alegações que extrapolem esses campos apenas para fazer o risco parecer maior. Essa abordagem ajuda os usuários individuais a escolher a medida de segurança correta e permite que as organizações identifiquem quais dados dos funcionários podem realmente estar em risco. O escopo atual da categoria de dados limita-se aos seguintes campos: Endereços de e-mail, Nomes de usuário, Endereços IP, Metadados de hash de senha, Sais de senha, Senhas.