Dois incidentes de segurança separados, um no Japão e outro em Taiwan, foram confirmados esta semana. A violação de dados do Comic CMoa afeta uma das maiores lojas de ebooks do Japão, com endereços de e-mail e hashes de senhas reportados como perdidos. Separadamente, a ACCESS confirmou que 1.305 contas de cartão foram roubadas da CROS. Os dois casos não têm relação entre si, mas juntos mostram dois tipos comuns de exposição: credenciais de login e dados de cartão de pagamento.

Os detalhes disponíveis até agora são limitados, então este post se atém ao que foi reportado e explica o que isso significa na prática.

O que vazou nas violações do Comic CMoa e da ACCESS

De acordo com as reportagens, a violação de dados do Comic CMoa envolve uma popular loja de ebooks japonesa, e os dados perdidos incluem endereços de e-mail de usuários e hashes de senhas. Um hash de senha é uma versão embaralhada de uma senha, não a senha em si. As empresas armazenam hashes para não precisarem manter senhas em texto simples em seus servidores.

O segundo incidente é separado. A ACCESS confirmou que 1.305 contas de cartão foram roubadas da CROS. A fonte descreve a escala como 1.305 contas de cartão, e não fornece mais detalhes no material que revisamos. Não vamos especular sobre quais campos foram levados, como os atacantes entraram ou quem estava por trás de qualquer um dos incidentes.

Vale ressaltar que são duas empresas diferentes, dois sistemas diferentes e dois tipos diferentes de dados. Os leitores não devem assumir que um incidente está conectado ao outro.

Por que senhas com hash ainda colocam os usuários em risco

Ouvir que apenas hashes foram levados pode parecer tranquilizador, mas não deveria fazer ninguém relaxar. Hashes são uma camada de proteção, não uma garantia. O quão segura uma senha com hash é depende de quão forte era a senha original e de como o serviço aplicou o hash.

Se um atacante obtém um conjunto de hashes, ele pode tentar reverter o processo adivinhando senhas comuns, aplicando hash a cada tentativa e comparando os resultados. Senhas curtas, previsíveis ou comumente usadas tendem a cair primeiro. Frases-senha fortes e únicas são muito mais difíceis de recuperar.

Os endereços de e-mail também importam. Mesmo sem nenhuma senha, uma lista de e-mails vinculados a um serviço específico pode ser usada para phishing direcionado, como mensagens falsas alegando vir da loja de ebooks e pedindo que você faça login novamente.

O maior perigo prático é a reutilização de senhas. Se você usou sua senha do Comic CMoa em outro site, qualquer pessoa que quebre aquele hash pode tentar a mesma combinação de e-mail e senha em outros lugares. Isso é conhecido como credential stuffing, e só funciona quando as pessoas reutilizam senhas.

O que o roubo de cartões da CROS significa para os clientes afetados

Dados de cartão são um problema diferente. Com 1.305 contas de cartão reportadas como roubadas da CROS, a principal preocupação para os clientes afetados são cobranças não autorizadas e tentativas de fraude. Os emissores de cartão geralmente têm processos para substituir cartões comprometidos e contestar transações fraudulentas, mas só podem agir se você notar um problema ou for informado sobre ele.

Se você for contatado pela ACCESS ou pelo emissor do seu cartão sobre este incidente, leve o aviso a sério, mas verifique primeiro. Violações de dados são frequentemente seguidas por mensagens fraudulentas que imitam a empresa afetada. Use os dados de contato impressos no seu cartão ou obtidos diretamente do site oficial da empresa, não links em um e-mail ou texto inesperado.

Pequenas cobranças de teste são um sinal comum de uso indevido de cartão, então até mesmo transações menores que você não reconhece merecem uma ligação para o seu emissor.

Passos para proteger suas contas após uma violação

Você não precisa entrar em pânico, mas algumas ações rápidas fazem muita diferença:

  • Altere senhas reutilizadas. Se sua senha do Comic CMoa foi usada em qualquer outro lugar, substitua-a em todas as outras contas. Torne cada uma única.
  • Ative a autenticação de dois fatores (2FA). Mesmo que alguém tenha sua senha, um segundo fator torna muito mais difícil entrar. Códigos baseados em aplicativos ou chaves de hardware são geralmente mais fortes que SMS.
  • Use um gerenciador de senhas. Ele pode gerar senhas longas e aleatórias e lembrá-las para você, o que remove a tentação de reutilizar.
  • Monitore as faturas do cartão. Verifique suas contas regularmente, configure alertas de transação se seu banco oferecer, e reporte qualquer coisa desconhecida imediatamente.
  • Desconfie de mensagens de acompanhamento. Não clique em links em e-mails inesperados sobre qualquer um dos incidentes.

Os mesmos hábitos se aplicam após qualquer violação, incluindo ataques em que criminosos visam perturbar uma vítima diretamente, como no caso de um afiliado do ransomware Akira cujo ataque saiu pela culatra. Atacantes cometem erros, mas você não deve contar com isso para proteger seus dados.

O que isso significa para você

Se você tem uma conta no Comic CMoa, assuma que seu endereço de e-mail pode estar nas mãos de terceiros e que o hash da sua senha pode eventualmente ser quebrado, especialmente se a senha era fraca. Altere-a, e altere-a em qualquer outro lugar onde você a usou. Se você está conectado à CROS ou a uma conta de cartão ACCESS, acompanhe suas faturas de perto e confirme qualquer comunicação pelos canais oficiais.

Se você não está em nenhum dos dois grupos, esses incidentes ainda são um lembrete útil. A maior parte dos danos de violações vem depois, quando detalhes roubados são reutilizados contra pessoas que não mudaram seus hábitos.

Principais conclusões

A violação de dados do Comic CMoa e o roubo de cartões da ACCESS CROS são eventos separados, mas o conselho é o mesmo: aja cedo. Substitua senhas reutilizadas por senhas únicas, ative o 2FA, armazene credenciais em um gerenciador de senhas e revise a atividade do seu cartão regularmente. Dez minutos de limpeza agora é muito mais fácil do que lidar com tomadas de conta ou cobranças fraudulentas depois.