Suposta exposição de dados de YourPartTime

Antes de abrir o registro da YourPartTime, foram verificadas correspondências de título, domínio, nome de marca semelhante, data do incidente e quantidade de cadastros nos registros existentes. Como não foi encontrado nenhum registro que representasse o mesmo incidente, ele foi mantido como um registro separado. Registros com nomes semelhantes, mas com domínios ou incidentes diferentes, não foram considerados nessa decisão.

Pode haver diferenças entre a quantidade de registros nas listas analisadas e a quantidade de detalhes que podem ser verificados. Isso pode decorrer da contagem de linhas brutas, contas únicas, e-mails duplicados, registros após limpeza, linhas de fóruns, linhas de perfis ou conjuntos de dados reempacotados. Nesta página, a referência adotada foi o número de 34.741, sustentado de forma consistente juntamente com os tipos de dados, e não o maior número apresentado.

A YourPartTime foi avaliada como uma plataforma de empregos de meio período sediada na Malásia, que conecta pessoas em busca de emprego a empregadores. Como as contas de busca de emprego estão associadas à identidade pessoal e profissional, um vazamento de senhas não deve ser visto apenas como um risco técnico para a conta.

Neste incidente, foram expostos endereços de e-mail e senhas em texto puro. Se uma senha usada em uma plataforma de empregos foi reutilizada em outros sites de vagas, contas de e-mail ou perfis de redes sociais, o impacto aumenta.

No incidente da YourPartTime, o risco é maior do que em um vazamento comum de e-mails, pois foram encontradas senhas em texto puro. Os dados de senha reduzem o tempo de tentativa e erro dos invasores, facilitam tentativas automatizadas de login em outros serviços nos quais a mesma senha é usada e tornam mais convincentes as mensagens de redefinição de senha.

Embora um endereço de e-mail isolado possa parecer um dado pessoal de alcance limitado, quando combinado com nome de usuário, endereço IP, número de telefone, nome completo, data de nascimento ou informações de senha, ele se torna um recurso importante para ataques. Se você usa o mesmo endereço de e-mail em contas de trabalho, compras, fóruns, jogos, serviços financeiros ou redes sociais, o impacto pode ir além da plataforma envolvida.

Mesmo sendo um incidente antigo, ele continua relevante para a segurança. Uma parcela significativa dos usuários reutiliza padrões de senhas antigas com pequenas alterações. Por isso, um vazamento antigo como o da YourPartTime pode ser usado anos depois em tentativas de adivinhar senhas, ataques de credential stuffing e tentativas de phishing direcionado.

O primeiro passo é tentar lembrar qual endereço de e-mail e qual senha você pode ter usado no passado na YourPartTime ou em yourparttime.com. Se você usou senhas da mesma família em outras contas, não basta alterar a senha apenas no site envolvido; todas as senhas reutilizadas devem ser substituídas por senhas únicas e aleatórias.

Usar um gerenciador de senhas é uma das medidas mais eficazes após esse incidente. Criar uma senha diferente para cada site evita que um único vazamento se propague em cadeia para outras contas. Você também deve revisar as senhas antigas salvas no navegador e eliminar senhas fracas ou repetidas.

A autenticação de dois fatores é uma prioridade especialmente para contas de e-mail, gerenciadores de senhas, contas financeiras, perfis de redes sociais, contas de busca de emprego e painéis administrativos. A autenticação por aplicativo ou por chave de segurança física oferece uma proteção mais resistente do que a autenticação por SMS.

Você deve verificar as regras de encaminhamento da conta de e-mail, os endereços de recuperação, os aplicativos conectados, a lista de dispositivos confiáveis e as sessões recentes. Mesmo que um invasor não consiga acessar diretamente a conta da YourPartTime, ele pode usar a conta de e-mail para atacar os processos de redefinição de senha de outros serviços.

Em tentativas de phishing, podem ser usados o nome do serviço antigo, o nome de usuário, informações sobre o setor de atuação, o país, um hobby ou a data de cadastro. Você deve digitar o endereço por conta própria em vez de clicar diretamente nos links recebidos, não abrir anexos sem verificá-los e ter cautela com mensagens que pressionam você a agir com urgência.

O risco também deve ser avaliado para usuários corporativos. Se um funcionário usou o e-mail de trabalho em uma conta aparentemente pessoal, é possível que alguém tente usar a mesma senha nos sistemas da empresa. Por isso, são importantes as verificações de segurança por domínio, a autenticação multifator e os controles que detectam a reutilização de senhas.

Para os responsáveis pelos sites, a principal lição envolve o armazenamento de senhas e a minimização de dados. Senhas em texto puro ou formatos de hash que podem ser quebrados rapidamente enfraquecem diretamente a segurança dos usuários. Sistemas modernos devem usar métodos de derivação de senhas robustos, com salt e lentos, e atualizar gradualmente os formatos antigos de hash durante o login dos usuários.

Backups, ambientes de teste, arquivos de exportação, softwares antigos de fóruns, painéis administrativos e permissões desnecessárias devem ser auditados regularmente. Muitos vazamentos de dados não se originam na parte visível da aplicação principal, mas em sistemas auxiliares esquecidos ou em contas com permissões amplas.

Nas organizações sem um plano de resposta a incidentes, a notificação dos usuários, a redefinição de senhas, a revisão de logs e a verificação de sistemas conectados sofrem atrasos. É necessário definir previamente quais sistemas serão monitorados, quais registros serão mantidos, quais usuários serão informados e quais backups serão revisados.

Nos detalhes, a YourPartTime foi descrita explicitamente como uma plataforma que não está mais ativa, e o registro foi marcado como descontinuado porque a plataforma excedeu o tempo limite de resposta na verificação atual.

O contexto de busca de emprego pode tornar mais convincentes as mensagens de phishing sobre falsas ofertas de trabalho, verificação de candidaturas, informações salariais ou solicitações de documentos. Você deve verificar com cuidado as mensagens que pedem documentos pessoais.

Os campos de currículo, telefone, endereço ou histórico profissional não foram incluídos neste registro porque não há comprovação que os sustente. Os campos diretamente comprovados se limitam a e-mail e senha em texto puro.

Como a senha foi exposta em texto puro, você precisa verificar se a senha antiga foi usada em alguma de suas contas de busca de emprego ou de e-mail. Variações derivadas da mesma base de senha também devem ser alteradas.

A imagem verificada do logotipo da YourPartTime foi baixada para o arquivo, e a página do registro foi configurada para ser apresentada com essa imagem.

Os tipos de dados não verificados foram deliberadamente excluídos deste registro. Apresentar com clareza os campos comprovados é mais valioso para a confiança de quem usa a página do que criar uma lista mais longa de categorias de dados. Nas páginas sobre vazamentos, o objetivo não é causar medo, mas explicar claramente o escopo correto e as medidas de segurança aplicáveis.

Esta página foi preparada para fornecer informações diretas e que permitam tomar medidas práticas, sob diferentes denominações, como vazamento de dados da YourPartTime, vazamento de dados de yourparttime.com, vazamento de senhas da YourPartTime e dados de usuários da YourPartTime. O texto explica os aspectos verificados e as medidas práticas de segurança.

Ao consultar este registro, você deve avaliar não apenas a conta na plataforma envolvida, mas também outras contas que abriu com o mesmo endereço de e-mail. As contas em que senhas antigas são reutilizadas estão entre os primeiros alvos dos invasores. Encerrar contas antigas também reduz o risco a longo prazo.

Para reduzir a repetição de senhas, as novas senhas não devem incluir nomes de marcas, anos de nascimento, nomes de usuário, nomes de times, hobbies, cidades ou acréscimos fáceis de adivinhar. Acrescentar um número pequeno ou um caractere especial ao final de uma senha não a torna segura; as ferramentas dos invasores testam esses padrões rapidamente.

A lista de verificação da segurança da conta é clara: altere a senha antiga, atualize todas as contas que usam a mesma senha, ative a autenticação de dois fatores, confira as informações de recuperação do e-mail, encerre sessões desconhecidas e acesse diretamente o endereço do site em vez de usar links de mensagens suspeitas.

As equipes de segurança devem avaliar este registro quanto à presença de endereços de e-mail que correspondam aos domínios usados pelos funcionários. Endereços de e-mail corporativos usados em contas antigas de fóruns, compras, serviços financeiros ou comunidades podem enriquecer as listas de alvos dos invasores.

A minimização de dados é fundamental em incidentes desse tipo. Campos de perfil desnecessários não devem ser coletados, contas inativas devem ser removidas conforme políticas razoáveis de retenção, o acesso a campos sensíveis deve ser restrito e as operações de exportação de dados devem receber monitoramento adicional.

Em vez de entrar em pânico, você precisa colocar a segurança das suas contas em ordem. Encerrar contas antigas e esquecidas, excluir cadastros desnecessários, atualizar endereços de recuperação e ativar notificações de login em contas importantes oferece proteção permanente.

O nível de risco nesta página foi classificado como crítico, considerando a quantidade de contas afetadas, o tipo de informação de senha, o potencial das categorias de dados para permitir a tomada de controle de contas e se o incidente envolveu credenciais reutilizáveis. O nível crítico não indica uso indevido confirmado, mas sinaliza que você precisa agir rapidamente.

Em resumo, este registro da YourPartTime corresponde a um único vazamento de dados que afetou 34.741 contas em agosto de 2023 e contém os campos de endereços de e-mail e senhas em texto puro. A recomendação é que você use senhas únicas, ative a autenticação de dois fatores, verifique as configurações de segurança do e-mail e acompanhe alertas de login suspeito.

Como o número, o título e o domínio são avaliados em conjunto no registro da YourPartTime, itens ambíguos de listas que circulam sob o mesmo nome não foram incorporados a esta página. O registro que você vê está limitado ao domínio e ao período do incidente verificados.

Manter as categorias de dados simples é especialmente importante, pois acrescentar campos sem comprovação prejudica a sua avaliação de risco. Por isso, alegações sobre dados além de endereços de e-mail e senhas em texto puro não são apresentadas como campos comprovados neste registro.

Cadastros antigos associados ao domínio yourparttime.com podem ter sido esquecidos. Se não for possível alterar as senhas de contas esquecidas, uma prioridade mais realista é encontrar outros serviços em que a mesma senha foi usada e protegê-los.

Quando informações de nome de usuário, e-mail ou telefone são combinadas com outros vazamentos, fica mais fácil para os invasores deduzir os interesses, o país, o setor de atuação ou os hábitos de cadastro anteriores de uma pessoa. Por isso, mesmo que um único vazamento pareça pequeno, o risco combinado é maior.

Para as organizações, o uso de e-mail de trabalho em cadastros pessoais dos funcionários deve ser abordado em treinamentos regulares de conscientização. Registros como este servem de alerta para medir a reutilização de senhas e a visibilidade das identidades corporativas em plataformas pessoais.

Se você encontrar seu próprio e-mail neste registro, deve começar pelas contas mais importantes: caixa de entrada de e-mail, conta bancária ou de investimentos, gerenciador de senhas, armazenamento em nuvem, redes sociais e contas de compras usadas com frequência.

Se for possível encerrar a conta, cancelar cadastros antigos e desnecessários também é uma boa medida. Nas contas que não podem ser encerradas, você deve ao menos definir uma senha única, reduzir as informações do perfil ao mínimo e ativar as notificações de login.