Vazamento de dados do infoQ (894.082 registros): o que vazou e o que os membros devem fazer

A empresa diz que as senhas foram criptografadas, mas pede que os membros que usem a mesma senha ou uma parecida em outros serviços a troquem nesses serviços e verifiquem se há acessos que não reconhecem. Desde 6 de outubro, ela vem enviando e-mails a todos os membros, em sequência, pedindo que façam isso. O método de criptografia não foi divulgado.

Quando um par de e-mail e senha se torna conhecido, ele pode ser testado em outros sites. Comece por e-mail, compras online e serviços de pontos, e use uma senha diferente para cada serviço. Um gerenciador de senhas é a forma realista de fazer esse inventário.

Quanto à senha do próprio infoQ, a empresa invalidou as senhas de todos os membros em 7 de outubro. Diz que explicará o procedimento novamente quando o serviço for retomado.

O endereço de e-mail cadastrado no infoQ provavelmente é o endereço de redefinição de senha de muitos outros serviços. Se alguém assumir essa conta de e-mail, poderá redefinir senhas em outros lugares também.

Serviços de e-mail como Gmail e Outlook oferecem verificação em duas etapas. Os passos de configuração e a escolha do método estão em Primeiros passos com a autenticação multifator.

A empresa alerta para e-mails, mensagens de texto e ligações suspeitas que se passem por ela ou pelo infoQ. A própria empresa está enviando e-mails individuais aos membros afetados desde 5 de outubro, então mensagens verdadeiras e falsas chegarão ao mesmo tempo.

Se você receber uma mensagem sobre "procedimentos de compensação de pontos", "códigos de presente de desculpas" ou "verificação de identidade", não abra o link; consulte os avisos no site oficial da empresa (veja O que é phishing?).

A empresa diz que compensará integralmente os pontos trocados de forma fraudulenta. Segundo o segundo comunicado, de 14 de outubro, a compensação será creditada nas contas dos membros afetados quando o serviço for retomado, e os membros serão comunicados individualmente por e-mail quando isso for concluído. O aviso não menciona nenhum procedimento em que os membros precisem informar números de conta ou dados semelhantes.

Um remetente que conhece seu nome, endereço e data de nascimento corretos não fica comprovado como legítimo por isso. Esses são exatamente os dados que vazaram. Se alguém pedir conta bancária, número de cartão ou senha em nome de compensação ou reembolso, confira o procedimento no site oficial antes de fazer qualquer coisa.

O infoQ está suspenso desde 3 de outubro e não havia sido retomado até 15 de outubro, então você pode não conseguir consultar seu histórico. Se notar uma troca de pontos que não fez, entre em contato com o Centro de Suporte do infoQ indicado pela empresa (infoq-support@gmo-research.ai; e-mails aceitos 24 horas, atendimento em dias úteis, das 10h às 18h, horário do Japão).

Use o endereço de contato do site oficial da empresa, não um informado em mensagem recebida. Quando o serviço for retomado, faça login por conta própria e confira seu saldo de pontos e o histórico de trocas.

Como primeiro passo, registre a quantidade e o valor por hora das trocas por códigos de presente ou pontos de outras empresas, e notifique alguém quando ultrapassarem várias vezes o nível habitual.

Também limite quantas trocas uma conta e uma origem podem fazer. Definir limites e alertas é tratado em Limitação de taxa e controle de abuso.

Poder interromper somente a função de troca antes de tirar o site inteiro do ar limita os danos mais cedo. Decida com antecedência quem toma essa decisão e como acioná-la, e teste o interruptor de fato uma vez por ano para confirmar que funciona.

A empresa atribui a causa à exploração de uma vulnerabilidade em um software usado em seu site. O software não foi nomeado, então este ponto é geral.

Liste os produtos e bibliotecas em execução no seu site com suas versões e decida antecipadamente quais atualizar, e até quando, após o anúncio de uma vulnerabilidade. Como priorizar está em Guia de correção de CVEs.