Mais de 3 milhões de emails e senhas que acessam serviços de streaming estão expostas na internet. De acordo com relatório enviada pela PSafe ao TecMundo, o laboratório de cibersegurança dfndr lab encontrou cinco bases de dados que somam mais de 3,4 milhões de contas.
Segundo o laboratório, as contas expostas contabilizam usuários de vários países, mas muitos brasileiros estão na lista. Apesar dos serviços de streaming não terem sido revelados — apenas que as contas são dos principais produtos de música e jogos —, podemos pensar em nomes como Spotify, Deezer, Twitch etc.
As bases de dados com as senhas provavelmente eram vendidas ou trocadas entre cibercriminosos
“Com login e senha, os cibercriminosos conseguem ter total acesso e usar os serviços como se fossem o dono da conta. Além disso, muitas pessoas usam as mesmas senhas para diversos serviços, o que dá ainda mais acesso ao hacker a informações pessoais ou até mesmo privadas e sigilosas das vítimas”, esclarece Emilio Simoni, diretor do dfndr lab. Emilio ainda ressalta que é bastante comum que os hackers compartilhem suas ‘conquistas’ na deep web com outros grupos de cibercriminosos, “deixando as vítimas ainda mais expostas”.
Mesmo assim, segundo o laboratório, as bases de dados não foram encontradas na deep web. Pelo contrário, elas estavam sendo trocadas livremente na surface, a internet comum que é mais acessada por todos.
Contas vazadas
Do phishing veio, para o phishing voltarás
A empresa também confirmou ao TecMundo que os logins são provenientes de phishing. Caso você não saiba, phishing é um dos métodos de ataque mais antigos, já que "metade do trabalho" é enganar o usuário de computador ou smartphone. Como uma "pescaria", o cibercriminoso envia um texto indicando que você ganhou algum prêmio ou dinheiro (ou está devendo algum valor) e, normalmente, um link acompanhante para você resolver a situação. O phishing também pode ser caracterizado como sites falsos que pedem dados de visitantes. A armadilha acontece quando você entra nesse link e insere os seus dados sensíveis — normalmente, há um site falso do banco/ecommerce para ludibriar a vítima —, como nome completo, telefone, CPF e números de contas bancárias.
Exatamente por isso, após obter essas credenciais, cibercriminosos podem realizar novos ataques ou vender as contas. Entre os novos ataques, está o spear phishing: é possível montar um ataque personalizado com dados sensíveis da vítima para roubar informações ainda mais críticas, como senhas bancárias.
Uma das bases
Para se proteger deste tipo de ataque, o dfndr recomenda algumas medidas de segurança, como:
- Verifique se o site que você está acessando é o site oficial daquela marca
- Não acredite em links recebidos por WhatsApp, SMS ou e-mail
- Verifique nos canais oficiais da marca se aquela promoção realmente existe
- Nunca utilize a mesma senha para diversos serviços, já que isso aumenta a chance do cibercriminoso conseguir acesso a outras contas da vítima
- Tenha sempre um produto de segurança com a função anti-phishing instalado no celular
- Para checar se seus dados foram vazados, as vítimas podem acessar serviços de monitoramento de roubo de dados
Categorias
