O que fazer ao receber uma notificação de vazamento de dados? |  WeLiveSecurity

Os vazamentos de dados ocorrem quando um terceiro não autorizado obtém acesso às informações privadas de uma organização. Normalmente, esse tipo de incidente envolve o roubo de dados pessoais de clientes e/ou funcionários. Existem regulamentações rigorosas, como a LGPD no Brasil ou a GDPR na Europa, que foram projetados para forçar as organizações a melhorar a segurança e o tratamento desses dados. Além de impor possíveis multas, essas leis também exigem que as organizações reportem qualquer descumprimento das regulamentações correspondentes ao país logo após o descobrimento de um incidente.

Essas leis conseguiram melhorar a transparência com os clientes e o público sobre incidentes envolvendo vazamentos de dados. Entretanto, apesar dos esforços dos reguladores, os registros revelam que o número de vazamentos continua aumentando. Nos EUA, só nos três primeiros trimestres de 2021, o número de vazamentos de dados ultrapassou o total do ano de 2020. No Reino Unido, quase dois terços das médias e grandes empresas admitiram ter sofrido um vazamento de dados no ano passado. Em toda a União Europeia, mais de 280 mil incidentes de segurança envolvendo vazamentos de dados pessoais foram registrados entre maio de 2018 e janeiro de 2021.

No entanto, receber uma notificação de que seus dados podem ter sido expostos em um vazamento de dados não significa que tudo está perdido. As suas decisões nas horas e dias seguintes à notificação pode ter um grande impacto em relação às consequências de um vazamento de dados.

Separamos alguns aspectos fundamentais que você deve ter em conta após receber uma notificação de vazamento de dados:

Mantenha a calma e leia atentamente a notificação

Uma reação impulsiva pode acabar piorando desnecessariamente a situação. Portanto, não cancele suas contas on-line e nem mesmo todos os seus cartões. Ao invés disso, respire fundo e tente entender o que aconteceu. Leia os detalhes do incidente até que eles façam sentido e entenda o que foi roubado e o que está envolvido. Também vale a pena salvar o e-mail de notificação, caso seja necessário provar em algum momento que o vazamento não foi sua responsabilidade.

Verifique se a notificação é realmente legítima

Uma campanha de phishing pode tentar chamar a atenção dos usuários alegando que seus dados foram envolvidos em um vazamento de dados a fim de convencê-los a clicar em um link malicioso ou divulgar mais informações pessoais. Estes e-mails e mensagens falsas são cada vez mais difíceis de diferenciar dos legítimos. Portanto, a primeira coisa a fazer quando se está diante de tal mensagem é entrar em contato com a organização ou serviço que sofreu o incidente, seja através de seu site oficial ou contas de redes sociais. Os atendentes poderão explicar se você foi afetado e o que deve acontecer em seguida. Caso seja realmente um golpe, denuncie e apague a mensagem.

Fique atento aos golpes

Os mercados clandestinos do cibercrime na dark web são uma espécie de engrenagem que funciona muito bem. É provável que os cibercriminosos responsáveis pelo vazamento tentem vender seus dados pessoais em fóruns dentro da dark web. Os golpistas compram este tipo de informação e, em seguida, direcionam golpes aos usuários que foram vítimas dos vazamentos de dados através de e-mails e mensagens de phishing bem projetadas que buscam, por exemplo, obter dados de login, detalhes de cartões e outras informações que possam gerar algum ganho financeiro.

Por esse motivo, é fundamental estar atento a qualquer e-mail ou mensagem de aparência legítima que possa chegar até você após um vazamento de dados. Os cibercriminosos podem até criar mensagens para se fazerem passar pela empresa que sofreu o incidente de segurança ou outras fontes. Os sinais indicadores de e-mails de phishing são: erros gramaticais e ortográficos, endereços de e-mail de um remetente diferente da empresa e a criação de um senso de urgência. Tudo com o objetivo de enganar o usuário para que ele possa agir de forma imediata e sem pensar antes.

Altere a(s) senha(s)

Mesmo que seus logins não tenham sido comprometidos no vazamento de dados, atualizar suas senhas pode ser uma boa ideia para ganhar paz de espírito. Além disso, também altere as senhas de quaisquer outras contas na quais você use a mesma senha para realizar login. Isto porque os criminosos têm acesso a softwares (para obter mais informações leia sobre ataques de força bruta e password spraying) que permitem testar automaticamente um grande número de dados de login roubados em vários sites em toda a web até que consigam comprometer novas contas on-line.

Também indicamos a ativação da autenticação em dois fatores em todas as suas contas on-line e o uso de um gerenciador de senhas para armazenar e lembrar suas senhas únicas e seguras para cada site ou serviço.

Confira suas contas bancárias e outras contas on-line

Se a notificação comunica que seus dados de login foram roubados, e você usa as mesmas informações em outras contas, altere todos as credenciais de forma imediata. Também vale a pena verificar as contas bancárias e tentar encontrar qualquer atividade suspeita. Às vezes, se os golpistas tiverem acesso a informações pessoais suficientes, eles podem enganar os atendentes que trabalham em bancos, empresas de telefonia e outras organizações para redefinir detalhes de suas contas ou até mesmo criar novas senhas.

Bloqueie seus cartões

Se você tiver sido notificado sobre um vazamento grave envolvendo suas informações financeiras, é fundamental informar o incidente ao seu banco imediatamente, cancelar ou bloquear seus cartões e alterar qualquer senha. Se informações como números de CPF ou RG forem roubados em um vazamento, os golpistas podem utilizá-los para tentar fazer empréstimos em seu nome, realizar uma grande dívida e depois desaparecer. Isto pode afetar sua classificação de crédito por meses e levar muitas horas ou dias para ser resolvido. Uma boa maneira de evitar este risco é pedir às empresas de classificação de crédito que congelem a segurança de seus arquivos de crédito. Isso significa que nenhuma instituição bancária poderá ver seus relatórios e, portanto, não poderá abrir nenhuma nova conta em seu nome.

Entenda quais dados foram expostos

Se as informações expostas pela organização que sofreu o vazamento forem muito vagas, você pode procurar mais informações por conta própria. Sites como o Have I Been Pwned oferecem este tipo de serviço de forma gratuita. Leia este post e saiba como verificar se sua senha foi exposta em uma vazamento de dados reportado.

Busque compensações

Os casos de vazamento estão se tornando tão comuns hoje em dia e existe o risco de naturalizá-los. Ao estar atento e entender qual o seu tipo de exposição ao risco, você provavelmente será capaz de administrar o impacto de um incidente e mitigar alguns impactos.

Caso ocorra um vazamento de dados (comprovado) envolvendo seus dados pessoais, busque informações junto à organização responsável e, caso a sua solicitação não seja atendida, ou não saiba qual organização está envolvida, faça uma denúncia no site da Autoridade Nacional de Proteção de Dados e siga as instruções determinadas pelo órgão.

Dados de cerca de 300 mil clientes do Mercado Livre vazam após invasão -  07/03/2022 - UOL TILT

O Mercado Livre informou nesta segunda-feira que os dados de cerca de 300 mil de seus clientes foram acessados, após detectar que parte de seu código-fonte foi alvo de acesso não autorizado.

A companhia afirmou em comunicado que não encontrou nenhuma evidência de que seus “sistemas de infraestrutura tenham sido comprometidos ou que tenham sido obtidas senhas de usuário, saldos em conta, investimentos, informações financeiras ou de cartão de pagamento”.

Com cerca de 140 milhões de usuários únicos, o Mercado Livre é o maior portal de comércio eletrônico da América Latina e soma-se se a Itaú Unibanco e Nubank, que tiveram problemas com tecnologia nas últimas semanas.

 

App Robinhood tem dados de 7 milhões de clientes comprometidos - Canaltech

Um atacante obteve acesso a alguns dos sistemas de suporte ao cliente do app de investimentos Robinhood e roubou dados pessoais de cerca de um terço da base de clientes.

A Robinhood, plataforma de investimentos, revelou que sofreu um vazamento de dados no último dia 3 de novembro que afetou cerca de 7 milhões de seus clientes.

“Um terceiro não autorizado obteve acesso a uma quantidade limitada de informações pessoais de uma parte de nossos clientes. Com base em nossa investigação, o ataque foi contido e acreditamos que nenhum número de Seguro Social, contas bancárias ou cartão de débito foram expostos e que não houve perdas financeiras para nenhum cliente como resultado do incidente”, explicou a Robinhood.

A empresa descobriu que um cibercriminoso obteve acesso a vários de seus sistemas de atendimento ao cliente através de técnicas de engenharia social durante uma ligação telefônica com um representante da área de suporte. Dessa forma, o atacante obteve os endereços de e-mail de aproximadamente cinco milhões de usuários e os nomes completos de outro grupo de cerca de dois milhões de clientes.

Além disso, mais de 300 clientes foram afetados pela exposição de seus nomes, datas de nascimento e códigos postais. A financeira também admitiu que um grupo de 10 clientes tiveram outros dados de suas contas acessados pelo atacante. No entanto, a empresa não forneceu mais informações sobre esse assunto. A Robinhood, que tem mais de 22 milhões de clientes, está notificando os usuários que foram afetados pelo incidente.

O aplicativo de investimentos conseguiu bloquear a intrusão, o que não agradou ao atacante, que tentou extorquir dinheiro da Robinhood exigindo que a empresa pagasse após o bloqueio do ataque. As autoridades foram informadas e a empresa está investigando o caso.

“Como uma empresa que prioriza a segurança, temos o dever de ser transparentes com nossos clientes e agir com integridade. Após a devida revisão, informar toda a comunidade da Robinhood sobre este incidente agora é a coisa certa a fazer”, disse o diretor de segurança da Robinhood, Caleb Sima.

Por que devo me preocupar com vazamentos de dados?

As informações obtidas a partir desses tipos de vazamentos dados podem ser uma mina de ouro para os cibercriminosos, já que podem ser usadas para cometer roubo de identidade e outros tipos de golpes. Os dados também podem ser vendidos na dark web, onde tais informações pessoais podem ser de grande valor para os criminosos.

 

 

Um arquivo de texto com 100 GB compartilhado em um fórum de hackers expôs mais de 8,4 bilhões de senha na internet. Esse vazamento é considerado o maior da história, de acordo com especialistas da área de segurança cibernética.

Quando vazou os dados, o responsável afirmou ter 8,2 bilhões de senhas disponíveis. Mas, acabou corrigindo o número para os 8,4 bilhões. O caso é chamado de ‘RockYou2021’, segundo o site especializado em cibersegurança Cyber News. O nome é uma referência ao ‘RockYou’ de 2009, que expôs ‘apenas’ 32 milhões de senhas.

Nem todos os dados, porém, são novos. Esses códigos foram reunidos nos últimos anos, reunindo dados de vazamento anteriores. As senhas expostas têm entre seis e 20 caracteres. Ainda de acordo com Cyber News, não há espaços em branco, nem ASCII, linguagem unificada de computadores.

Antes desse novo vazamento, o maior foi o Compilation of Many Breaches (COMB), em fevereiro deste ano, com 3,2 bilhões de senhas expostas. Suspeita-se que a lista atual sirva como um “dicionário” para facilitar ataques.

Nunca utilize datas de aniversário como senha. Imagem: iStock

O arquivo de senhas vazadas pode conter dados de todos os usuários do mundo, já que, do total da população do globo, 4,7 bilhões de pessoas usam a internet. Assim, a lista contém quase o dobro, sendo recomendado que os usuários se certifiquem de analisar suas senhas.

O ideal é que todas as senhas sejam atualizadas. Vale lembrar ainda as principais dicas na hora de escolher, como usar no mínimo oito caracteres, com combinações entre números, letras maiúsculas e minúsculas e caracteres especiais.

Evite sempre usar datas de aniversários, sua ou de parentes e amigos, além de nome das pessoas. Também é importante ativar a verificação em duas etapas nas contas que disponibilizam a configuração.

Leia também:

44 milhões de usuários da Microsoft utilizam senhas que já foram vazadas

Cofre de senhas: Os dados da sua empresa estão protegidos

As piores senhas de 2020: é hora de mudar a sua?

 

 

Um número inacreditável de quase 800 milhões de emails e senhas foi vazado recentemente na internet. De acordo com a Wired, a brecha foi notada pelo pesquisador de segurança Troy Hunt e contém mais de 12 mil arquivos, com 87 gigabytes de dados, postados em um fórum hacker.

A falha gigante envolve 772.904.997 endereços de email únicos, além de mais de 21 milhões de senhas únicas. Essa é considerada uma das maiores brechas de segurança envolvendo vazamentos de email na história.

Os números acima, por sinal, não refletem a real quantidade de dados vazados. Isso porque o pesquisador fez um esforço de limpar os dados duplicados e inutilizáveis. Na forma crua, o número de endereços de email e senhas passava de 2,7 bilhões – incluindo mais de um bilhão de combinações únicas de emails e senhas.

Troy Hunt mantém o site Have I Been Pwned. Na plataforma, você pode descobrir se o seu email ou a sua senha já foram comprometidos em alguma brecha na história –ele oferece até mesmo em quantos vazamentos seu email já esteve envolvido.

Como posso ser afetado?

A lista vazada parecer ser projetada para uso nos chamados ataques de preenchimento de credenciais, em que hackers entram com email e combinações de senhas em um site ou serviço. Esses são processos tipicamente automatizados, que confiam principalmente em pessoas que reutilizam as mesmas senhas em vários sites.

Pelo vazamento ter aparecido em um dos sites de armazenamento na nuvem mais populares na atualidade, o Mega, e não somente na deep web, Hunt vê a questão como séria. Os dados não estavam à venda, mas disponíveis para quem quisesse ver.

A maneira como eles estavam organizados também preocupa. … – Veja mais em https://noticias.uol.com.br/tecnologia/noticias/redacao/2019/01/17/vazamento-gigante-afeta-800-milhoes-de-emails-e-senhas-veja-se-foi-afetado.

“São senhas em texto simples. Se levarmos em conta um vazamento como o do Dropbox, eram 68 milhões de endereços de email, mas as senhas eram criptografadas, tornando-as muito difíceis de usar”, explicou Hunt.

Ou seja: para os dados serem utilizados, basta o malfeitor rolar a tela e clicar. Sergey Lozhkin, especialista em segurança da Kaspersky Lab, explicou o tamanho do problema:

Essa coleção pode virar uma lista de emails e senhas: tudo o que precisam fazer é criar um software simples para checar se as senhas estão funcionando.

“As consequências do acesso à conta podem variar de phishing muito produtivo, pois os criminosos podem enviar emails infectados para contatos da vítima, até ataques projetados para roubar toda a identidade digital ou dinheiro da vítima ou comprometer os dados da rede social”.

O hack

Chamada de Collection #1, essa brecha é a maior que Hunt já testemunhou. E ela não envolve apenas o vazamento de um serviço –é uma chamada “brecha das brechas”, que agrega mais de 2.000 bases de dados vazadas.

“Parece ser uma coleção aleatória de sites puramente para maximizar o número de credenciais disponibilizadas para hackers. Não existem padrões óbvios”, afirmou Hunt à Wired.

Apesar de os dados envolvidos não contarem com informações sensíveis, como CPF e números de cartões, a falha é séria e histórica. Mais de 140 milhões de emails e mais de 10 milhões de senhas vazadas nessa falha, por exemplo, são novos no banco de dados de Hunt. O vazamento do Yahoo, por exemplo, teria afetado 3 bilhões de usuários, mas as informações vazadas não vieram a público até agora.

Como se proteger

Para se proteger da brecha, o usuário pode seguir algumas dicas.

A Uber não só levou um ano para avisar ao público que dados de milhões de usuários e motoristas tinham vazado como ainda pagou a hackers para acobertar a situação.

Segundo reporta a Reuters, a companhia deu US$ 100 mil (R$ 325 mil) aos hackers para que o caso não viesse a público.

Duas pessoas foram demitidas por envolvimento no plano: o diretor de segurança, Joe Sullivan, e seu adjunto, Craig Clark.

Embora tenha ficado sabendo da situação em novembro de 2016, apenas um mês após o incidente, Travis Kalanick, fundador e ex-CEO da Uber, não esteve envolvido no acobertamento, segundo a Reuters.

Após a divulgação do problema, nesta terça-feira, 21, o procurador-geral de Nova York informou que abriria uma investigação sobre o caso. Hoje, autoridades na Austrália e nas Filipinas fizeram o mesmo.

Nos últimos meses, a Uber se envolveu em uma série de polêmicas e até chegou a trocar de CEO para tentar colocar ordem na casa. Na noite desta terça-feira, 21, a empresa se envolveu em mais uma ao anunciar o vazamento de dados de 57 milhões de usuários da plataforma do mundo inteiro; dentro deste número também estão inclusos 7 milhões de motoristas.

Talvez pior do que o vazamento em si foi a demora da empresa em alertar as vítimas de que suas informações tenham sido afetadas. O anúncio desta terça-feira se refere a um ataque registrado em outubro de 2016; ou seja: a empresa demorou mais de um ano para deixar os afetados saberem que suas informações foram roubadas.

O comunicado assinado pelo CEO Dara Khosrowshahi, no entanto, tenta tranquilizar as vítimas afirmando que apenas foram expostos nomes, endereços de e-mail e números telefônicos. “Nossos especialistas forenses não encontraram evidências de que histórico de localização das viagens, números de cartão de crédito, números de contas bancárias, número de Seguro Social (o “RG” dos EUA) ou datas de nascimento foram baixadas”, informa o executivo.

Khosrowshahi deixa transparecer uma cutucada na administração anterior em seu texto. “Como CEO da Uber, é meu trabalho definir nosso curso para o futuro, o que começa construindo uma empresa de que todos os funcionários, parceiros e clientes podem se orgulhar. Para isso acontecer, precisamos ser honestos e transparentes enquanto trabalhamos para corrigir nossos erros do passado”, diz o executivo, afirmando ter descoberto recentemente que “dois indivíduos de fora da empresa acessaram indevidamente dados de usuários armazenados em um serviço de nuvem de terceiros usado pela Uber”. Os dois funcionários já foram desligados da prestadora de serviços.

A empresa criou uma página com orientações aos usuários sobre como lidar com o ataque, mas, de um modo geral, não há muito o que ser feito. “Acreditamos que nenhum usuário específico precise tomar qualquer medida. Não notamos nenhuma evidência de fraude ou de uso indevido vinculados ao incidente. Estamos monitorando as contas afetadas, que foram sinalizadas para proteção adicional contra fraudes”, diz a página.

 

Muitas ocorrências que integram o recente surto de vazamentos de dados sensíveis registrado por diversas companhias e organizações, entre as quais Time Warner, Viacom e a firma de análise de dados Deep Root, contratada pelo Comitê Nacional do Partido Republicano dos Estados Unidos, têm origem na vulnerabilidade de cerca de 7% de todos os servidores S3 da Amazon.

No caso da Deep Root, o resultado foi o vazamento acidental de dados pessoais de 198 milhões de cidadãos norte-americanos que foram armazenados durante duas semanas sem a proteção de qualquer senha. É possível imaginar os desdobramentos legais que certamente ocorrerão.

Cada vez mais empresas optam por migrar rapidamente para a nuvem como forma de alcançar importantes vantagens competitivas, mas acabam por não adotar medidas básicas para garantir a segurança de seus dados nesse novo ambiente.

Pode parecer incrível, mas em quase todos os casos a razão dos vazamentos reside no fato de essas empresas, através dos responsáveis pelo processo de migração para a nuvem, terem deixado os servidores da Amazon S3 configurados de modo a permitir o acesso público. Dessa forma, qualquer pessoa com um link ao servidor pode acessar, ver ou baixar esses dados.

Para Christian Vezina, CISO da Vasco Data Security, todos os vazamentos de dados têm algo em comum. “Podemos chamar de desatenção, que se manifesta quando percorremos rapidamente os e-mails e clicamos por engano em um link contaminado ou quando esquecemos de ativar importantes funções de segurança, por exemplo. O fato é que nós humanos somos o elo mais fraco na cadeia de segurança. A Amazon Web Services foi vítima de seu próprio sucesso. Para tornar tão fácil para qualquer pessoa ou instituição ter seus próprios servidores toda uma barreira foi removida: a do conhecimento técnico. Ir para a nuvem é relativamente simples, sim, mas alguém precisa fazer a passagem dos antigos paradigmas”, diz.

Ele acrescenta que experientes administradores de sistemas costumam navegar por complexos conjuntos de instruções e construírem sistemas seguros na nuvem. “Já equipes menos experimentes ou sob pressão para entregar rapidamente sistemas já operacionais acabam esquecendo procedimentos críticos ao longo do processo, permitindo a exposição de milhares e mesmo de milhões de dados. ”

Vezina alerta para o fato de que se a informação está lá fora e pronta para ser descoberta, não é possível confiar de forma cega no conceito de segurança. “É apenas uma questão de tempo até que alguém descubra uma forma de acesso. Se você está armazenando seus dados na nuvem, leve o tempo que for necessário para configurar seus sistemas de forma segura, sem esquecer também de encriptar os seus dados.”

De acordo com o Krebs on Security, o maior vazamento de dados sensíveis da história pode ter sido pior do que o imaginado anteriormente. Além de expor endereços e outras informações pessoais de cerca de metade da população dos EUA, o vazamento da Equifax também teria dado de mão beijada mais de 200 mil cartões de crédito funcionais aos hackers.

Ao que parece, os dados desses cartões foram roubados dos registros de transações realizadas pela Equifax entre novembro de 2016 e julho de 2017. Nesse período, os criminosos poderiam ter feito compras com qualquer um desses cartões, uma vez que todos os detalhes necessários para uma transação na web foram vazados.

A Visa e a Mastercard emitiram notificações a seus bancos parceiros antes mesmo desse detalhe vir a público para que essas instituições financeiras pudessem tomar as devidas providências no caso de clonagens ou compras não autorizadas.

Uma investigação para descobrir se a Equifax estava armazenando dados de cartões sem criptografia está sendo realizada, mas o mais provável é que os hackers tenham conseguido acessar essas informações através de uma falha no framework Struts, da Apache Foundation, que é baseado em Java.