Vazamento de dados de YouNow

As categorias de dados verificadas são endereços de e-mail, endereços IP, nomes, nomes de usuário e links para perfis em redes sociais. O anúncio de venda mencionava cerca de 40 milhões de registros de contas, enquanto o índice confiável identificou 18.241.518 endereços de e-mail únicos; muitos registros não continham e-mail. Portanto, os números medem unidades diferentes, não devem ser somados e não devem ser apresentados como 40 milhões de pessoas distintas. O YouNow autenticava os usuários por meio de provedores de login social e informou que não havia senhas no conjunto de dados do incidente. Um link para um perfil em rede social pode conectar uma identidade no YouNow à presença de uma pessoa em outra plataforma, enquanto nomes e nomes de usuário facilitam tentativas personalizadas de se passar por ela. Endereços de e-mail permitem ataques de phishing e a identificação de contas, e endereços IP podem indicar a região aproximada e fornecer contexto sobre a conexão. Senhas de provedores de login social, tokens de acesso, mensagens privadas, informações de pagamento e conteúdo de transmissões não são categorias verificadas neste caso; incluí-las iria além das evidências disponíveis.

Dados de contas associados ao YouNow foram colocados à venda em 14 de fevereiro de 2019, junto com anúncios de outros grandes bancos de dados. A data de 15 de fevereiro indicada no registro é uma referência do catálogo; as evidências não estabelecem o dia da extração. O anúncio alegava conter 40 milhões de registros, mas a presença de registros sem e-mail resultou em uma contagem verificada menor de endereços de e-mail únicos. Foi sugerida uma vulnerabilidade de banco de dados comum a vários sites, mas nenhuma falha no PostgreSQL, erro na aplicação ou erro de configuração foi comprovado no caso do YouNow. Não se deve presumir o método usado para obter acesso. “Vazamento de banco de dados” descreve a distribuição em massa das informações de contas em formato de banco de dados; o uso de login social não significa que um provedor de identidade tenha sofrido uma violação. A ausência de senhas não torna os dados inofensivos, mas este incidente não deve ser descrito como uma exposição de senhas.

O principal grupo em risco é formado por pessoas que usaram o YouNow antes de fevereiro de 2019 e vincularam um e-mail, nome, nome de usuário ou perfil em rede social. Reutilizar o mesmo nome de usuário em várias plataformas facilita a associação entre perfis e tentativas de se passar por uma pessoa para atingi-la. O e-mail pode ser usado para enviar falsos alertas de segurança, convites para transmissões, notificações sobre direitos autorais e mensagens de verificação ou recuperação. Um endereço IP não é um endereço residencial, mas informações aproximadas sobre localização, provedor ou período de conexão podem dar credibilidade a uma mensagem. Como não há senhas nos dados, uma correspondência não comprova que um invasor conseguiria entrar na conta da rede social ou assumir o controle da conta no YouNow. Um link para um perfil em rede social também não significa que um token de acesso tenha vazado. Exposição, associação entre plataformas, phishing e abuso confirmado de contas são riscos distintos.

Se houver correspondência, proteja a conta no provedor de login social usado para acessar o YouNow e a conta de e-mail associada. Ative a autenticação multifator, revise os dados de recuperação, encerre sessões que você não reconhece e remova aplicativos conectados que não usa mais. Em mensagens que se apresentam como enviadas pelo suporte do YouNow ou de uma rede social, examine o domínio real do remetente e o destino do link; abra o aplicativo ou digite o endereço em vez de fazer login a partir de uma mensagem. Como a exposição de senhas não foi verificada, não presuma, com base apenas neste registro, que a senha da sua conta no provedor de login social vazou. Ainda assim, substitua senhas reutilizadas por senhas únicas, pois elas podem aparecer em outro incidente. Se você encontrar um perfil que se passa por você, uma transmissão não autorizada, um aplicativo desconhecido ou uma alteração inesperada nos dados de recuperação, preserve as evidências, encerre as sessões e denuncie o ocorrido pelos canais oficiais de suporte.

O login social é conveniente, mas um único provedor pode se tornar a porta de entrada para muitas contas. Use senhas únicas nas suas contas principais de e-mail e redes sociais, armazene-as em um gerenciador de senhas e ative a autenticação multifator com um aplicativo ou uma chave de segurança física. Revise regularmente as permissões dos aplicativos conectados, remova serviços que não usa e evite conceder acesso ao perfil quando o aplicativo não precisar dele. Usar o mesmo nome de usuário em várias plataformas facilita a associação entre identidades; considere usar nomes de usuário diferentes ou aliases de e-mail para separar sua identidade pública de transmissão das suas contas privadas. Reduza informações desnecessárias de localização e contato, além de links entre redes sociais, nos seus perfis. Não abandone uma conta apenas excluindo o aplicativo; use as opções de encerramento da conta e exclusão de dados. Confirme os avisos de segurança dentro do próprio serviço, em vez de usar um link recebido por e-mail, e continue verificando periodicamente se seus dados foram expostos.

Uma correspondência de e-mail significa que ele apareceu no conjunto de dados associado ao YouNow, que contém 18.241.518 endereços únicos. Isso não comprova que os alegados 40 milhões de registros correspondiam a usuários distintos, que a conta continua aberta, que uma senha estava visível ou que um provedor de login social foi comprometido. Se houver correspondência, revise as sessões, os aplicativos conectados e as configurações de recuperação na conta da rede social usada para fazer login, e fique atento a avisos falsos do YouNow direcionados ao seu e-mail ou nome de usuário. A ausência de correspondência não é uma garantia absoluta de segurança, pois você pode ter usado outro e-mail, aparecido apenas em um registro sem e-mail ou sido afetado por outro incidente. Os serviços de consulta abrangem apenas os conjuntos de dados indexados. Leve em conta o fato de que não havia senhas nos dados e não descreva um link para um perfil em rede social como um token de acesso. Ao avaliar mensagens suspeitas, considere em conjunto o domínio do remetente, o destino do link, a pressão para agir e os pedidos de senhas ou códigos de verificação.