Vazamento de dados de Zooville

Os campos de dados verificados são datas de nascimento, endereços de e-mail, endereços IP, senhas e nomes de usuário. O endereço de e-mail pode ser utilizado para contatar o usuário diretamente. O nome de usuário facilita a correspondência de identidade caso o mesmo apelido seja preferido em diferentes fóruns ou redes sociais. O endereço IP pode fornecer pistas adicionais sobre a localização aproximada e informações de conexão. A data de nascimento, por outro lado, é um dado pessoal persistente que pode ser utilizado em tentativas de adivinhação de senhas, phishing e cenários de recuperação de conta.

Foi informado que as senhas estão armazenadas como hashes bcrypt. O bcrypt é considerado mais forte em comparação com esquemas de hash fracos; no entanto, senhas fracas ou reutilizadas ainda representam um risco. Se a mesma senha for repetida em contas de e-mail, redes sociais, jogos, fóruns ou contas de trabalho, invasores podem testar essas informações em diferentes telas de login. No contexto de um fórum sensível, além do risco técnico para a conta, os impactos de chantagem, pressão social e phishing são ampliados.

A data da violação foi confirmada como 27 de setembro de 2019. A data de listagem corresponde a 19 de outubro de 2019, 21:22:44 UTC, e a data de modificação a 20 de outubro de 2019, 21:58:16 UTC. O número de contas afetadas foi registrado como 71.407. O incidente teve início com dados acessados por meio de uma vulnerabilidade não corrigida no software de fórum vBulletin e, posteriormente, campos adicionais foram expostos com um dump completo do banco de dados do fórum. Foi relatado que o administrador do site excluiu os dados do fórum após o vazamento e migrou para uma nova estrutura de fórum.

No caso da Zooville, nome completo, número de telefone, endereço físico, cartão de pagamento, número de documento oficial de identificação, conteúdo de mensagens privadas ou histórico de compras não constam entre os campos de dados verificados. A inclusão desses campos seria enganosa. O escopo deve se limitar a data de nascimento, e-mail, IP, senha e nome de usuário. Os registros devem permanecer verificados e classificados como sensíveis, pois a combinação do tema do fórum com os campos expostos representa um risco significativo à privacidade do usuário.

As pessoas sob maior risco são aquelas que também utilizam o endereço de e-mail ou o nome de usuário de sua conta da Zooville em outros serviços. Se o mesmo apelido existir em contas de redes sociais, fóruns, jogos ou mensagens, é possível estabelecer vínculos entre os perfis. O risco se eleva ainda mais se a mesma senha for usada em outras contas. A conta de e-mail é uma prioridade especial, pois links de redefinição de senha para muitos serviços são enviados para a caixa de entrada do e-mail.

Devido ao contexto sensível do fórum, tentativas de chantagem, constrangimento e mensagens direcionadas de phishing podem ser esperadas. Invasores podem tornar suas mensagens convincentes exibindo nomes de usuário, endereços de e-mail, IPs ou informações de data de nascimento reais. Uma mensagem desse tipo não é considerada prova de acesso atual à conta; no entanto, indica que medidas rápidas de segurança são necessárias. Se um e-mail de trabalho ou informações de rede corporativa tiverem sido utilizados, o risco pode se estender para além do âmbito pessoal.

A senha utilizada na conta da Zooville não deve ser usada em nenhum outro serviço. Se a mesma senha ou variações semelhantes existirem, elas devem ser substituídas imediatamente por senhas exclusivas e longas. A conta de e-mail deve ser protegida primeiro; uma senha forte, autenticação de dois fatores e controle de sessões ativas devem ser implementados. O uso de um gerenciador de senhas torna sustentável a geração de senhas diferentes e fortes para cada conta.

Links em mensagens suspeitas não devem ser clicados, arquivos não devem ser abertos e solicitações de pagamento não devem ser respondidas. Ameaças que contenham nomes de usuário, endereços IP ou datas de nascimento antigos não são provas de acesso atual, mesmo que pareçam reais. O usuário deve revisar outros perfis abertos com o mesmo e-mail e nome de usuário, remover informações desnecessárias de perfil, encerrar sessões ativas e habilitar alertas de segurança para serviços importantes.

O endereço de e-mail principal não deve ser usado para fóruns sensíveis e contas de interesses específicos. Endereços de e-mail separados, senhas exclusivas e autenticação de dois fatores tornam mais difícil que um único vazamento se propague para outras contas. Usar o mesmo nome de usuário em todas as plataformas também é arriscado, pois facilita associar diferentes perfis a uma única pessoa. Portanto, informações que possam ser facilmente vinculadas a uma identidade real devem ser minimizadas em serviços sensíveis.

Quando informações difíceis de alterar, como data de nascimento e IP, são expostas, o risco persiste por muito tempo. Os usuários devem revisar periodicamente cadastros antigos, encerrar contas que não utilizem mais e verificar e-mails de recuperação, sessões e alertas de segurança em contas ativas. O objetivo de longo prazo é evitar que o vazamento de um único fórum sensível se espalhe para contas de e-mail, redes sociais e outras contas importantes.

Usuários que apareçam como resultado no LeakData Zooville devem considerar isso um aviso sensível de segurança da conta e privacidade. Um resultado positivo indica que endereço de e-mail, nome de usuário, endereço IP, data de nascimento ou dados de hash de senha dessas pessoas podem ter sido encontrados neste conjunto de dados. O primeiro passo é proteger a conta de e-mail, o segundo passo é alterar a senha e o terceiro passo é verificar outros perfis criados com o mesmo nome de usuário.

O impacto verificado deste incidente é de 71.407 contas. O vazamento da Zooville deve ser tratado com cuidado devido ao contexto sensível do fórum e aos múltiplos campos de dados pessoais. Se o resultado for positivo, o usuário deve atualizar suas senhas, habilitar a autenticação de dois fatores, encerrar sessões antigas, revisar contas abertas com o mesmo e-mail ou nome de usuário e responder a mensagens de ameaça com calma e com base em evidências.