Se alguma vez encomendou mantimentos através da Flink, pode ter recebido um e-mail estranho a exigir um pequeno pagamento para manter os seus dados pessoais fora da dark web. Relatos descrevem cerca de 1 milhão de registos a serem leiloados e clientes a serem alvo de exigências de extorsão de cerca de €12. Se se questiona sobre a violação de dados da Flink e o que fazer a seguir, esta lista de verificação aborda a confirmação da exposição, o bloqueio de contas e o reconhecimento dos esquemas fraudulentos que tendem a surgir depois.
O que foi roubado na violação da Flink
Os atacantes por trás do incidente, identificados como o grupo de extorsão LPG Group, afirmam ter levado dados pertencentes a mais de um milhão de compradores e 13.000 funcionários. O nosso relatório anterior sobre as exigências de resgate do LPG Group contra clientes da Flink aborda as alegações do grupo com mais detalhe.
O material que analisámos não apresenta uma lista completa e verificada de todos os campos de dados envolvidos, pelo que deve tratar qualquer alegação detalhada com cautela. O que é claro é que os atacantes tinham informação de contacto de clientes suficiente para enviar e-mails diretamente às pessoas. No mínimo, assuma que o seu endereço de e-mail e os dados de identidade associados à sua conta podem estar em mãos criminosas. Relatos indicam também que a Flink se recusou a pagar aos atacantes e que os registos roubados foram colocados em leilão.
Porque é que uma exigência de resgate de €12 é mais difícil de ignorar
A maioria de nós associa extorsão a exigências de resgate de milhões de dólares contra grandes empresas. Uma exigência de cerca de €12 por pessoa funciona de forma diferente. É pequena o suficiente para que algumas pessoas possam pagar apenas para fazer o problema desaparecer, e os atacantes podem enviar milhares de mensagens de uma só vez em vez de negociarem com uma única vítima.
Essa é a lógica de um micro-resgate. O custo para cada vítima parece trivial, mas multiplicado por uma grande lista de clientes, soma-se. Um relatório sugere que os atacantes esperavam recolher mais de €200.000 no total, e que ninguém pagou.
As orientações de segurança citadas na cobertura do caso são consistentes: não responda e não pague. Responder pode confirmar que o seu endereço está ativo e monitorizado, o que o torna mais valioso para os burlões. Pagar financia o modelo e não oferece qualquer garantia de que os seus dados serão eliminados. Uma vez copiados os dados, a promessa de um criminoso de os destruir não pode ser verificada.
Como verificar se a sua conta Flink foi afetada
Comece pelas provas que já tem.
- Procure o e-mail. Pesquise na sua caixa de entrada e na pasta de spam por mensagens que mencionem a Flink, os seus dados ou uma exigência de pagamento em criptomoeda ou euros. Receber uma é um forte indício de que os seus dados estavam no conjunto roubado.
- Verifique o e-mail da sua conta. Se utilizou um endereço separado ou um alias para a Flink, note se as mensagens de extorsão chegaram lá.
- Acompanhe os canais oficiais. Procure um aviso da própria Flink em vez de confiar em capturas de ecrã partilhadas nas redes sociais. Se quiser confirmação, contacte a Flink através da sua aplicação ou site oficial, não através de um link num e-mail.
- Utilize um serviço de notificação de violações. Ferramentas reputadas que verificam se o seu e-mail aparece em fugas de dados conhecidas podem indicar-lhe se o seu endereço surgiu noutro local. Um resultado limpo não prova que não foi afetado, uma vez que novos conjuntos de dados aparecem ao longo do tempo.
Se não recebeu um e-mail de extorsão, pode ainda assim ter sido exposto. Os atacantes nem sempre contactam todas as vítimas.
Violação de dados da Flink: o que fazer para proteger as suas contas
Siga estes passos por ordem de urgência.
- Não interaja com o e-mail de extorsão. Não responda, não clique em links, não abra anexos nem pague. Marque-o como phishing no seu cliente de e-mail e elimine-o.
- Altere a sua palavra-passe da Flink. Escolha uma palavra-passe longa e única que não utilize em mais nenhum lado.
- Substitua palavras-passe reutilizadas. Se a sua palavra-passe da Flink corresponde a qualquer outra conta, altere também essas, começando pelas contas de e-mail, bancárias e de compras. A sua conta de e-mail é a mais importante, porque pode repor todas as outras.
- Ative a autenticação de dois fatores. Utilize uma aplicação autenticadora ou uma chave física onde quer que seja oferecida. Isto bloqueia a maioria dos ataques de apropriação de contas mesmo quando uma palavra-passe é divulgada.
- Reveja os seus métodos de pagamento. Verifique os extratos bancários e de cartão à procura de cobranças desconhecidas e considere remover os cartões guardados da aplicação se já não a utilizar.
- Utilize um gestor de palavras-passe. Torna as palavras-passe únicas práticas e pode sinalizar as reutilizadas ou fracas.
O que isto significa para si
O risco imediato não está tanto nos dados roubados serem usados contra a sua conta Flink, mas sim no que vem a seguir. Criminosos com nomes e endereços de e-mail podem enviar mensagens de phishing convincentes, fazer-se passar pelo apoio ao cliente da Flink ou alegar que estão a oferecer reembolsos ou correções de conta. Espere SMS e e-mails com tema de entregas nas próximas semanas.
Desconfie de qualquer mensagem que crie urgência, peça pagamento em criptomoeda ou o pressione a iniciar sessão através de um link. Se uma mensagem alegar ser da Flink, abra a aplicação diretamente ou escreva o endereço no seu navegador. As empresas reais não exigem resgate aos seus clientes, e uma ameaça de publicar os seus dados a menos que pague é uma tática de pressão, não um processo legal.
Lembre-se também que uma pequena exigência não significa um pequeno risco. O montante foi concebido para baixar a sua guarda.
Principais conclusões
Para quem se questiona sobre a violação de dados da Flink e o que fazer, a resposta resume-se a algumas ações práticas:
- Não responda nem pague qualquer exigência de extorsão.
- Verifique a sua caixa de entrada e um serviço de notificação de violações para confirmar a exposição.
- Altere a sua palavra-passe da Flink e de qualquer conta que a partilhe.
- Ative a autenticação de dois fatores nas contas de e-mail, bancárias e de compras.
- Trate mensagens inesperadas de entregas, reembolsos ou apoio ao cliente como suspeitas até serem verificadas através de canais oficiais.
Para compreender quem está por trás destas exigências, leia o nosso contexto sobre o LPG Group e as suas exigências de resgate a clientes da Flink. Depois, reserve dez minutos hoje para verificar a sua exposição, corrigir as palavras-passe reutilizadas e ativar a autenticação de dois fatores.
