Vazamento “Seus dados foram extraídos” (You've Been Scraped)

As categorias de dados verificadas são endereços de e-mail, empregadores, localizações geográficas, cargos, nomes e perfis em redes sociais. Se for possível vincular um e-mail pessoal ao e-mail profissional da mesma pessoa, invasores poderão identificar a organização à qual ela está ligada, sua função e quais perfis podem ser acessados. A presença conjunta desses campos representa um risco maior de ataques direcionados do que o spam genérico, pois o conteúdo das mensagens pode ser personalizado de acordo com o cargo, a empresa, a localização e o histórico profissional.

Como a presença do campo de senha não foi verificada, este incidente não deve ser tratado diretamente como uma lista para tomada de controle de contas. Ainda assim, o risco aumenta quando o endereço de e-mail, o empregador, o cargo e as informações de perfis sociais são cruzados com senhas ou dados de telefone de outros vazamentos. Se você usa o mesmo formato de endereço de e-mail nas contas profissionais e pessoais, divulga informações detalhadas sobre sua função interna no perfil ou mantém suas conexões profissionais públicas, pode receber mensagens de phishing mais convincentes.

O escopo se limita ao incidente de 5 de outubro de 2018 e às 66.147.869 contas afetadas. Como não foi possível verificar quem era o responsável pelo conjunto de dados, o campo de domínio permanece vazio, e o incidente não é apresentado como uma invasão direta dos sistemas de uma empresa específica. Os campos obtidos têm características semelhantes às de dados compilados a partir de perfis em redes sociais profissionais. Por isso, a descrição se concentra nos campos de dados verificados e no impacto para você, em vez de fazer referências não confirmadas a marcas.

Senhas, informações de pagamento, documentos oficiais de identificação, datas de nascimento e dados de saúde não são incluídos na lista de dados verificados. Embora empregador, cargo e link de perfil social, isoladamente, não representem um risco tão evidente quanto os dados financeiros, são informações persistentes que podem ser usadas para identificar uma pessoa e direcionar ataques contra ela. Por isso, o registro não é marcado como sensível, mas o vazamento é considerado de alto impacto em termos de identidade profissional e fraude direcionada.

O principal grupo em risco é formado por pessoas cujos endereços de e-mail profissionais ou pessoais aparecem junto com informações de perfis profissionais. Para quem trabalha em recursos humanos, vendas, finanças, gestão, compras, relações com a imprensa e equipes técnicas, essas informações podem facilitar um primeiro contato do invasor que inspire confiança. Quando o nome do empregador, o cargo e o link do perfil social da mesma pessoa aparecem juntos, um convite falso para reunião, uma oferta, uma fatura, um contrato ou uma mensagem de recrutamento podem parecer mais convincentes.

Para as organizações, o risco não se limita à caixa de entrada de uma pessoa. Os dados de perfis profissionais expostos também podem ser usados para estimar a distribuição interna de funções, selecionar contatos da cadeia de suprimentos ou criar mensagens falsas em nome de funcionários de alto escalão. Assim, enquanto você protege suas próprias contas, as equipes de segurança corporativa também devem tratar com mais cautela links, arquivos e solicitações de pagamento incomuns recebidos nos e-mails profissionais.

Se você foi afetado, comece verificando o histórico de sessões, as regras de encaminhamento, os endereços de recuperação e as notificações de segurança inesperadas nas suas contas de e-mail profissionais e pessoais. Use senhas exclusivas nos diferentes serviços em que utiliza o mesmo endereço de e-mail e ative a autenticação multifator sempre que possível. Mesmo que a senha não esteja entre os campos verificados deste incidente, se o mesmo e-mail já apareceu em vazamentos anteriores, ele poderá ser usado em tentativas de tomada de controle de contas.

Confirme por um segundo canal os documentos e as mensagens que usam informações sobre seu cargo ou empregador, como solicitações de revisão, aprovações de pagamento, formulários de recursos humanos, convites falsos para reuniões e mensagens de atualização de perfil. Reduza as informações públicas nos perfis sociais, como e-mail, telefone, aniversário, histórico profissional e lista de conexões, e examine com cuidado as solicitações de conexão de desconhecidos. Se você usa uma conta da organização, informe a equipe de segurança sobre mensagens suspeitas e não abra arquivos adicionais diretamente.

Como os dados permanentes de perfis profissionais não podem ser recuperados, a proteção de longo prazo deve se basear na redução da visibilidade e na separação das contas. Não use seu e-mail profissional para assinaturas pessoais, limite informações de contato desnecessárias nos perfis sociais e encerre contas antigas. Gerenciadores de senhas, senhas exclusivas, autenticação multifator e verificações regulares de segurança da conta são a defesa básica contra o uso desses conjuntos de dados em combinação com outros ataques.

As organizações devem revisar regularmente o quanto das informações sobre as funções dos funcionários está visível em espaços de acesso público, manter atualizados os treinamentos de conscientização contra mensagens falsas de recrutamento e de fornecedores e adotar um processo adicional de aprovação para tarefas de alto risco. O reforço da segurança do e-mail, dos registros de verificação de domínio, dos canais de denúncia de phishing e dos controles para alterações nos pagamentos a fornecedores reduz significativamente o impacto de ataques alimentados por dados de perfis profissionais.

Se você encontrar uma correspondência, avalie separadamente quais campos de dados estão visíveis: o endereço de e-mail pode ser usado para contato e tentativas de acesso com senhas; o empregador e o cargo, para mensagens falsas de emprego; e a localização e os links de perfis sociais, para associar dados à sua identidade. A ordem de prioridade deve ser: proteger a conta de e-mail, alterar senhas reutilizadas, reduzir a visibilidade dos perfis sociais e verificar mensagens suspeitas relacionadas ao trabalho.

Embora não seja um vazamento clássico de senhas, o incidente 'Seus dados foram extraídos' é um vazamento de dados em larga escala que expõe a identidade profissional. Quando o nome de uma pessoa, suas informações de trabalho e o link de seu perfil social aparecem juntos, fica mais fácil para um invasor criar mensagens que pareçam confiáveis. Por isso, se você foi afetado, concentre-se não apenas na segurança das senhas, mas também na comunicação profissional, na privacidade dos perfis, nos alertas sobre engenharia social e nas etapas de verificação corporativa.