Vazamento de dados de Zacks (2024)

Os tipos de dados listados neste incidente são: endereços de e-mail, endereços IP, nomes, senhas, números de telefone, endereços físicos e nomes de usuário. Dados de contas associados ao interesse em investimentos podem ser usados em alertas falsos sobre carteiras de investimentos, relatórios de mercado ou mensagens de verificação de conta. A presença desses campos em conjunto pode facilitar a preparação, por invasores, de notificações falsas de conta, fraudes, cruzamento de identidades ou tentativas direcionadas de engenharia social.

As informações disponíveis indicam que as senhas estão associadas a valores de hash SHA-256 sem salt; isso representa um risco significativo para senhas fracas. A ausência de senha não elimina completamente o risco: endereço, número de telefone, data de nascimento, informações do dispositivo, perfil profissional, programa de fidelidade, atividade na web ou informações de compras também podem ser suficientes para tornar você um alvo. Se houver uma senha, é necessário verificar com urgência se ela é reutilizada em outros serviços.

O registro abrange aproximadamente 11,99 milhões de endereços de e-mail únicos pertencentes ao conjunto de dados de 2024 associado ao domínio zacks.com. O incidente está na categoria de registros confirmados. O escopo é determinado pela comparação do domínio, do contexto da empresa, do país, do setor, da quantidade de contas e das categorias de dados. Os campos exibidos para você se limitam aos campos listados no registro.

Este registro foi mantido separado do incidente anterior da Zacks e atualizado com a abrangência do conjunto de dados de 2024. Em alguns incidentes, a confirmação pela empresa pode ser limitada, ou o conjunto de dados pode ter sido disseminado em ambientes de terceiros. Neste caso, a explicação se concentra nos aspectos que mostram seu risco real, sem exagerar pontos incertos.

Estão em risco os usuários da Zacks, as pessoas com uma conta de pesquisa de investimentos e os usuários que reutilizam a mesma senha em contas financeiras ou de e-mail. O principal risco para esses usuários é o cruzamento dos campos vazados com informações comuns usadas em outras plataformas. Se o mesmo e-mail, número de telefone, nome de usuário, endereço, perfil em rede social ou senha for reutilizado em contas diferentes, a superfície de ataque aumenta.

O contexto financeiro pode ser explorado indevidamente em relatórios falsos, recomendações de investimento e mensagens sobre bloqueio de conta, assinatura ou pagamento. Os contextos de jogos, varejo, pagamentos, perfis em redes sociais, viagens, investimentos, companhias aéreas e saúde e bem-estar geram riscos diferentes. Você deve considerar não apenas a lista de domínios, mas também a qual conta ou serviço esses domínios estão associados.

Os usuários afetados devem alterar suas senhas e verificar o histórico de acessos das contas financeiras e de e-mail. Se houver uma senha ou um campo semelhante a uma senha na lista, você deve alterar a senha de todas as contas em que usa uma senha igual ou parecida, usar uma senha exclusiva e ativar a autenticação multifator sempre que possível. A conta de e-mail também deve ser protegida.

Se houver campos como endereço, número de telefone, data de nascimento, dispositivo, perfil comercial, compras ou programa de fidelidade, você deve verificar as opções de recuperação de conta, o histórico de sessões, as regras de encaminhamento e as mensagens suspeitas. Solicitações de verificação e de documentos recebidas no contexto de finanças, pagamentos ou companhias aéreas devem ser confirmadas por um segundo canal.

As contas de investimento e financeiras devem sempre usar senhas exclusivas e ter a autenticação multifator e os alertas de transações ativados. A longo prazo, usar um gerenciador de senhas, adotar senhas exclusivas e autenticação multifator, encerrar contas antigas e excluir campos desnecessários do perfil são medidas fundamentais de proteção. Como não é possível recuperar dados pessoais permanentes, você deve reforçar suas práticas de segurança e as configurações das contas.

As instituições devem auditar regularmente a minimização de dados, o prazo de retenção de registros de clientes antigos, as permissões de contas em fóruns e comunidades, os campos de programas de fidelidade e os processos de comunicação de incidentes. Do seu lado, não usar as mesmas informações de identidade em todos os lugares reduz o risco de forma duradoura.

Se seus dados corresponderem a este registro, você deve verificar, além da conta da Zacks, todos os serviços financeiros em que usa a mesma senha. Se houver uma correspondência, leia quais campos de dados estão listados e defina a ordem das ações com base neles. Se houver uma senha, a prioridade é alterá-la; se houver um endereço ou número de telefone, a prioridade é o alerta de fraude; se houver informações financeiras ou de pagamento, a prioridade é monitorar a conta; se houver um perfil em rede social, a prioridade é controlar a privacidade.

Avaliação final: este registro corresponde a um incidente sensível envolvendo contas financeiras, pois contém IP, endereço, telefone e valores de hash de senha sem salt. Você deve comparar este registro com o histórico da sua conta e verificar separadamente os serviços em que usa o mesmo e-mail, número de telefone, nome de usuário, endereço ou senha. Após o incidente, qualquer ligação, e-mail, mensagem ou notificação de recuperação de conta suspeita deve ser considerada de maior risco.