Um ator de ameaças num conhecido fórum de cibercrime estará a tentar vender uma base de dados com informações ligadas a 140 milhões de contas da BlaBlaCar. A alegação, se for precisa, representaria uma das maiores exposições de dados de utilizadores de uma plataforma europeia de partilha de viagens de que há memória recente. A BlaBlaCar não confirmou qualquer violação e a situação continua a ser classificada como uma alegação e não um incidente verificado, mas só a escala da afirmação merece a atenção da enorme base internacional de utilizadores da plataforma.

O que sabemos até agora

De acordo com relatos que circulam online, o vendedor alega que o conjunto de dados inclui IDs de utilizador, endereços de email, hashes de palavras-passe, nomes completos e informações de género para cerca de 140 milhões de contas. A BlaBlaCar opera em dezenas de países e há muito que se posiciona como a principal plataforma europeia de carpooling, o que tornaria uma violação desta dimensão significativa simplesmente pelo enorme número de pessoas potencialmente afetadas.

Nesta fase, a palavra-chave é "alegação". Não foi publicamente confirmada qualquer verificação independente da autenticidade da totalidade do conjunto de dados, e a BlaBlaCar contestou as alegações de que os seus sistemas foram comprometidos. Este é um padrão familiar no mundo da reportagem de violações de dados: um vendedor publica uma amostra ou uma alegação num fórum, os meios de comunicação noticiam a afirmação e a empresa afetada contesta ou investiga antes de se chegar a uma conclusão. Até que a BlaBlaCar ou um investigador de segurança independente confirme a legitimidade e a origem dos dados, os utilizadores devem tratar os relatos como não confirmados, mas merecedores de uma ação cautelosa.

Porque é que os hashes de palavras-passe e os emails continuam a ser importantes

Mesmo que a alegação de violação se revele exagerada ou apenas parcialmente precisa, o tipo de dados alegadamente envolvidos é exatamente o que os atacantes procuram. Os hashes de palavras-passe, embora não sejam o mesmo que palavras-passe em texto simples, podem muitas vezes ser quebrados ao longo do tempo, especialmente se forem usados algoritmos de hashing mais antigos ou mais fracos. Combinados com endereços de email e nomes completos, este tipo de dados é habitualmente utilizado em ataques de credential stuffing, nos quais os criminosos testam combinações de nome de utilizador e palavra-passe roubadas contra outros sites, aplicações bancárias e fornecedores de email.

As informações de género e os IDs de utilizador podem parecer menos sensíveis isoladamente, mas quando agrupados com emails e nomes, acrescentam detalhes que tornam as tentativas de phishing mais convincentes. Um burlão que saiba o seu nome, email e histórico de conta pode criar uma mensagem falsa muito mais credível do que alguém que apenas disponha de um endereço de email simples.

Esta não é a primeira vez que uma plataforma de mercado de massas que serve milhões de europeus enfrenta este tipo de exposição. A recente violação de dados da Odido, que afetou 6,2 milhões de registos, incluindo identificadores financeiros sensíveis, é um lembrete de que grandes bases de utilizadores são alvos atrativos independentemente do setor, e de que as consequências destes incidentes muitas vezes desenrolam-se lentamente, com ações judiciais e escrutínio regulatório a surgirem meses após os relatos iniciais.

A negação da BlaBlaCar e o fosso entre alegação e confirmação

A resposta da BlaBlaCar até agora tem sido contestar a alegação de violação, em vez de a confirmar. Este fosso entre a afirmação de um hacker e a negação de uma empresa é comum nas fases iniciais destas histórias, e podem ser necessários dias ou semanas para que investigações forenses, o envolvimento das autoridades ou investigadores terceiros resolvam a questão de forma definitiva. Os leitores devem ser cautelosos ao tratar publicações não verificadas em fóruns como factos estabelecidos, mas devem também reconhecer que as empresas por vezes demoram tempo a avaliar totalmente o alcance de uma intrusão antes de emitirem uma declaração completa.

O que importa na prática para os utilizadores é que o risco de exposição existe, independentemente de o número total de 140 milhões ser, em última análise, validado. Violações parciais, dados extraídos por raspagem ou antigos conjuntos de credenciais reembalados como "novas" fugas são tudo cenários comuns neste espaço, e qualquer um deles pode ainda assim colocar informações reais dos utilizadores em risco.

O que é que isto significa para si

Se tem uma conta na BlaBlaCar, a resposta mais razoável neste momento é a precaução, não o pânico. Altere a sua palavra-passe da BlaBlaCar, especialmente se não a atualiza há algum tempo, e certifique-se de que é única e não reutilizada noutros serviços. Se utilizou a mesma palavra-passe noutras plataformas, particularmente em contas de email ou bancárias, atualize-as também, uma vez que a reutilização de credenciais é uma das formas mais fáceis de os atacantes transformarem uma única fuga em múltiplas contas comprometidas.

Ativar a autenticação de dois fatores, quando disponível, acrescenta uma camada significativa de proteção, mesmo que a sua palavra-passe acabe por constar numa base de dados divulgada. Também vale a pena estar atento a alertas de início de sessão invulgar ou a atividades estranhas na sua conta nas próximas semanas, uma vez que isso pode ser um sinal precoce de que as credenciais foram utilizadas indevidamente.

Pontos-chave

As alegações de violação de dados da BlaBlaCar permanecem não confirmadas, mas a escala alegada, 140 milhões de registos de utilizadores, faz desta uma história que vale a pena acompanhar de perto. Trate os relatos com seriedade suficiente para atualizar a sua palavra-passe e rever a segurança da sua conta, sem assumir os piores cenários antes de ocorrer uma verificação. Tal como em anteriores exposições em grande escala que afetaram utilizadores europeus, o quadro completo poderá demorar a surgir, pelo que manter-se informado e proativo é a resposta mais eficaz disponível para os utilizadores individuais neste momento.