Quando um serviço que utiliza divulga uma violação de dados, a primeira pergunta é geralmente a mesma: fui afetado? Um utilizador japonês, que afirma ser ele próprio uma vítima da violação de dados da Times Car, fez essa pergunta sobre todos os serviços que utiliza. Publicou então uma compilação de fugas de informações pessoais e violações de dados de serviços nacionais ao longo do último ano, com orientações sobre onde as palavras-passe devem ser alteradas. A sua lista é um alerta útil para todos verificarem se os seus dados foram expostos em serviços que há muito esqueceram.

Uma nota sobre as fontes: o excerto do artigo original disponível para nós é breve, por isso este artigo não repete detalhes de violações individuais. Em vez disso, utiliza a abordagem do autor como modelo que pode aplicar às suas próprias contas.

O Que a Violação da Times Car Revela Sobre a Exposição de Contas

O ponto de partida do autor merece destaque. Ele não se propôs a escrever um resumo de violações. Tornou-se vítima de um incidente e depois questionou-se sobre o que mais poderia ter passado despercebido ao longo do último ano. É uma reação sensata, porque um único aviso raramente conta a história completa.

A maioria das pessoas distribui os seus dados por dezenas de serviços: partilha de automóveis, compras, armazenamento na nuvem, viagens, entregas. Cada um deles detém alguma combinação do seu nome, email, número de telefone, morada e, por vezes, dados de pagamento ou de início de sessão. Não controla quão bem qualquer um deles os protege. Quando um fornecedor é alvo de uma violação, a exposição segue-o mesmo que o seu próprio dispositivo nunca tenha sido comprometido.

Esse risco do lado do fornecedor é a lição principal. A violação da Rakuten Drive que afetou 15 000 contas é outro exemplo de como um incidente num serviço pode colocar em risco os dados que lá armazenou, independentemente do quão cuidadoso foi pessoalmente.

Como Verificar Quais Serviços Expuseram os Seus Dados

Pode adotar o método do autor em alguns passos:

  1. Liste os seus serviços. Pesquise na sua caixa de entrada de email mensagens de boas-vindas, recibos e emails de reposição de palavra-passe dos últimos anos. Inclua todos os endereços que já utilizou.
  2. Procure avisos. Pesquise na sua caixa de entrada por palavras como "acesso não autorizado", "incidente de segurança" ou "aviso importante". As empresas costumam enviar emails aos clientes afetados, e estas mensagens são frequentemente filtradas para o spam.
  3. Utilize ferramentas de consulta de violações. Serviços reputados de pesquisa de violações permitem-lhe introduzir um endereço de email ou número de telefone e ver se aparece em conjuntos de dados conhecidos como expostos. Utilize serviços bem estabelecidos e nunca introduza a sua palavra-passe num deles.
  4. Consulte os comunicados das empresas. Para os serviços que realmente utiliza, veja as páginas oficiais de notícias ou de segurança. Uma lista compilada como a do autor pode ajudá-lo a fazer referência cruzada de nomes.
  5. Registe o que encontrar. Anote o serviço, a data e que tipos de dados foram alegadamente expostos.

Uma consulta sem resultados não prova que está seguro. Nem todas as violações são publicamente conhecidas ou indexadas. Trate as ferramentas como um sinal entre vários.

Que Palavras-Passe Alterar Primeiro

Não precisa de alterar tudo de uma vez. Priorize pelo dano que uma tomada de conta poderia causar:

  • A sua conta de email principal. Esta repõe quase tudo o resto, por isso vem primeiro.
  • Qualquer conta mencionada num aviso de violação. Altere a palavra-passe mesmo que a empresa diga que as palavras-passe não foram expostas.
  • Contas financeiras, de pagamento e de compras com cartões guardados ou saldos de pontos.
  • Contas de armazenamento na nuvem e de cópias de segurança, que podem conter documentos de identidade, fotografias e ficheiros de trabalho.
  • Qualquer conta que partilhe uma palavra-passe com uma conta violada. A reutilização é a principal forma de uma fuga se tornar muitas.

Reveja também o que mais foi exposto. Se um aviso listar números de telefone ou moradas em vez de palavras-passe, alterar a palavra-passe não ajudará muito; em vez disso, espere mensagens de phishing e burla mais convincentes e trate links e chamadas inesperados com suspeita.

Proteger Contas Com 2FA e um Gestor de Palavras-Passe

Depois de alterar as palavras-passe urgentes, torne a próxima violação menos dispendiosa.

Utilize um gestor de palavras-passe. Gera uma palavra-passe longa e única para cada serviço, para que uma fuga num fornecedor não possa desbloquear outro. Só precisa de memorizar uma frase-passe mestra forte.

Ative a autenticação de dois fatores (2FA). Prefira uma aplicação de autenticação ou uma chave de segurança física em vez de códigos SMS, quando o serviço as oferecer. Mesmo que uma palavra-passe seja exposta, um atacante ainda precisa do segundo fator.

Reveja a atividade de início de sessão e as aplicações ligadas. Termine a sessão em dispositivos desconhecidos e remova o acesso de terceiros que já não utiliza.

Elimine o que não precisa. Feche contas de serviços que deixou de utilizar. Os dados que não estão armazenados não podem ser expostos.

O Que Isto Significa Para Si

As violações nos serviços que utiliza estão largamente fora do seu controlo, mas a sua resposta não está. Saber quais das suas contas foram afetadas permite-lhe agir primeiro nas certas, e palavras-passe únicas mais 2FA limitam até onde uma única fuga pode propagar-se. Uma VPN não protege dados que uma empresa armazena nos seus próprios servidores, por isso a higiene de contas importa mais do que ferramentas de rede nesta situação.

Pontos-Chave

  • Reserve tempo esta semana para verificar se os seus dados foram expostos nos serviços que utiliza.
  • Pesquise na sua caixa de entrada avisos de violações e construa uma lista simples das contas afetadas.
  • Altere primeiro a palavra-passe do email, depois as contas financeiras e na nuvem.
  • Adote um gestor de palavras-passe e ative a 2FA em todos os locais onde é oferecida.
  • Feche contas não utilizadas e reveja como armazena ficheiros com fornecedores online, uma vez que o incidente da Rakuten Drive mostra que problemas do lado do fornecedor podem atingir dados armazenados.

Uma hora de auditoria agora é muito mais fácil do que recuperar uma conta comprometida mais tarde.

FAQ: Q1: Como posso descobrir quais serviços podem ter exposto os meus dados? A1: Pesquise no seu email mensagens de boas-vindas, recibos e emails de reposição de palavra-passe para listar os seus serviços, depois pesquise por termos como "acesso não autorizado", "incidente de segurança" ou "aviso importante". Também pode utilizar ferramentas reputadas de consulta de violações com o seu endereço de email ou número de telefone. Q2: Posso utilizar ferramentas de consulta de violações em segurança? A2: Sim, mas deve utilizar serviços bem estabelecidos e nunca introduzir a sua palavra-passe num deles. Introduza apenas um endereço de email ou número de telefone. Q3: Uma consulta de violação sem resultados significa que os meus dados estão seguros? A3: Não. Nem todas as violações são publicamente conhecidas ou indexadas, por isso uma consulta sem resultados não prova que está seguro e deve ser tratada como apenas um sinal entre vários. Q4: Porque devo preocupar-me com violações em serviços em vez do meu próprio dispositivo? A4: A maioria das pessoas distribui os seus dados por dezenas de serviços, e não controla quão bem qualquer um deles protege os seus dados. Quando um fornecedor é alvo de uma violação, a exposição segue-o mesmo que o seu próprio dispositivo nunca tenha sido comprometido. Q5: O que devo fazer depois de saber que um serviço que utilizo foi alvo de uma violação? A5: Registe o que encontrar, anotando o serviço, a data e que tipos de dados foram alegadamente expostos. Também deve consultar os comunicados das empresas para os serviços que realmente utiliza e consultar listas compiladas de violações para fazer referência cruzada de nomes. ---END---