YouPorn Vazamento de dados

Os campos de dados verificados são endereços de e-mail e senhas. O endereço de e-mail permite o direcionamento direto ao usuário; a senha em texto simples é um dos tipos de dados mais arriscados em termos de segurança da conta. Invasores podem combinar esses dois campos para realizar tentativas automatizadas em outras telas de login. Se a mesma senha tiver sido utilizada em contas de e-mail, redes sociais, compras, trabalho, jogos ou serviços financeiros, um único vazamento pode se transformar em um risco mais amplo de sequestro de contas.

O vazamento de uma senha em texto simples é mais urgente do que o vazamento de um hash de senha. Mesmo que o usuário tenha alterado a senha posteriormente, deve-se considerar a possibilidade de que a mesma senha tenha sido reutilizada em outros serviços no passado. A associação de um endereço de e-mail a uma plataforma de conteúdo adulto gera implicações de privacidade que vão além do risco técnico. Mensagens de extorsão, alertas de segurança falsos, ameaças contendo a senha antiga e tentativas de clickbait podem se aproveitar dessa combinação de dados.

A data do incidente foi verificada como 21 de fevereiro de 2012. A data em que os registros foram adicionados a índices confiáveis de vazamentos consta como 30 de julho de 2015, 05:32:00 UTC, e a data de modificação consta como 20 de maio de 2018, 05:24:11 UTC. O número de contas afetadas está registrado como 1.327.567. Essa distinção entre datas é importante; o momento do vazamento não deve ser confundido com o momento posterior de inclusão ou atualização dos dados.

No cadastro do YouPorn, endereço IP, nome de usuário, nome completo, número de telefone, endereço físico, cartão de pagamento, número de documento oficial de identidade, data de nascimento, histórico de compras ou conteúdo de mensagens privadas não constam entre os campos de dados verificados. Adicionar esses campos seria enganoso. Por outro lado, a informação da senha em texto simples deve ser especificada explicitamente, pois este é o principal risco que determina a prioridade de ação urgente do usuário. O registro deve ser verificado e mantido na categoria sensível.

As pessoas com maior nível de risco são aquelas que também utilizam a senha de sua conta do YouPorn em outros serviços. Quando a mesma combinação de e-mail e senha é testada em outros sites, os invasores podem obter resultados rápidos. Em particular, contas de e-mail, redes sociais, armazenamento em nuvem, pagamentos, trabalho e mensagens devem ser verificadas primeiro. Se a conta de e-mail for comprometida, os processos de redefinição de senha de outros serviços também ficam em risco.

Devido ao contexto de conteúdo sensível, também podem ser esperadas mensagens com o objetivo de constrangimento ou chantagem. Invasores podem tornar suas mensagens convincentes exibindo uma senha antiga ou um endereço de e-mail. Tal mensagem não é prova de acesso atual, mas indica que o usuário precisa adotar medidas de segurança rápidas e corretas. Se tiver sido utilizado um endereço vinculado a um e-mail profissional ou identidade corporativa, também pode ser apropriado informar a equipe de segurança responsável.

A senha utilizada na conta do YouPorn não deve mais ser considerada segura em lugar algum. Se a mesma senha ou variações similares forem usadas em outros serviços, elas devem ser imediatamente substituídas por senhas exclusivas e longas. A conta de e-mail é uma prioridade; devem ser aplicadas uma senha forte, verificação em duas etapas e monitoramento de sessões ativas. O uso de um gerenciador de senhas torna sustentável a geração de uma senha diferente e forte para cada conta.

Links em e-mails suspeitos não devem ser clicados, arquivos não devem ser abertos e solicitações de pagamento não devem ser respondidas. Mensagens de ameaça contendo senhas antigas, mesmo parecendo reais, não contam como prova de acesso atual à conta. O usuário deve revisar todas as contas que utilizam a mesma senha, encerrar sessões ativas e ativar alertas de segurança em serviços importantes. As configurações de privacidade também devem ser verificadas em contas sensíveis abertas com o mesmo endereço de e-mail.

Para serviços sensíveis, o endereço de e-mail principal e senhas reutilizadas não devem ser a opção adotada. Um endereço de e-mail separado, uma senha exclusiva e a verificação em duas etapas dificultam que um único vazamento se propague para outras contas. Vazamentos de senhas em texto simples deixam evidente o perigo da reutilização de senhas. Usar uma senha diferente para cada conta é a defesa mais eficaz para limitar danos em incidentes semelhantes.

Os usuários devem revisar regularmente seus cadastros antigos e encerrar contas que não estejam mais em uso. A troca de senhas não deve ser vista como uma ação pontual; alertas de segurança, sessões ativas, dispositivos antigos e endereços de e-mail de recuperação devem ser conferidos periodicamente. Para contas em categorias sensíveis, informações desnecessárias de perfil não devem ser fornecidas, e endereços de e-mail que possam ser facilmente vinculados à identidade pessoal não devem ser utilizados.

Usuários que visualizarem um resultado do YouPorn no LeakData devem considerar esse resultado como um alerta de segurança de senha de alta prioridade. Um resultado positivo indica que o endereço de e-mail e a senha podem ter sido incluídos neste conjunto de dados. O primeiro passo é proteger a conta de e-mail, o segundo passo é alterar todas as contas que usam a mesma senha e o terceiro passo é ter cautela com mensagens de chantagem ou de phishing.

O impacto verificado deste incidente é de 1.327.567 contas. O vazamento do YouPorn deve ser tratado como crítico devido às senhas em texto simples e ao contexto de conteúdo adulto. Caso o resultado seja positivo, o usuário deve renovar suas senhas, habilitar a autenticação de dois fatores, encerrar sessões antigas, revisar contas sensíveis abertas com o mesmo e-mail e agir com calma e com base em evidências diante de mensagens de ameaça.