Vazamento de dados da NewsPicks (nomes de titulares de cartão e últimos dígitos, até 362.000 registros): o que vazou por meio de uma ferramenta administrativa interna e o que os usuários devem fazer

Entre os itens que podem ter vazado estão os nomes dos titulares de cartão e os últimos 3 ou 4 dígitos dos números de cartão. Mensagens legítimas de emissoras de cartão e de serviços costumam mostrar os últimos 4 dígitos para que você reconheça seu cartão. Isso faz com que uma mensagem falsa com os últimos dígitos corretos seja difícil de distinguir de uma real.

Se você receber algo como "confirme o cartão terminado em XXXX" ou "há um problema com seu pagamento", não abra o link. Trate assuntos do cartão com a emissora usando o número no verso do cartão, e assuntos da NewsPicks pelo aplicativo oficial (como identificar golpes: O que é phishing?).

A empresa diz que começou a enviar e-mails aos usuários afetados a partir de 9 de outubro, em sequência, a partir do endereço de suporte da NewsPicks (no-reply@newspicks.com). No entanto, o remetente exibido em um e-mail pode ser falsificado. E-mails falsos imitando o comunicado são possíveis, por isso a forma confiável de verificar é consultar os comunicados em um site oficial que você mesmo abrir.

A empresa diz que nunca pedirá senhas ou números de cartão de crédito por e-mail, mensagem de texto, telefone ou correspondência. Se alguém pedir esses dados, você pode considerar a mensagem falsa.

Segundo a empresa, os números completos dos cartões são gerenciados pela processadora de pagamentos e não são armazenados em seus sistemas, e ela não armazena códigos de segurança. Assim, os dados vazados, sozinhos, dificilmente bastariam para usar o cartão.

Mesmo assim, se uma mensagem falsa levar você a digitar o número completo do cartão, isso pode resultar em fraude. Se a sua fatura mostrar uma cobrança que você não reconhece, entre em contato com a emissora do cartão, mesmo que o valor seja pequeno. Decida com a emissora se o cartão deve ser reemitido.

Os itens que podem ter vazado também incluem o vínculo institucional (como o empregador), o telefone da organização vinculada e a categoria de nível de cargo. Além do seu e-mail pessoal, são possíveis ligações ou e-mails para o seu local de trabalho que se apresentem como da NewsPicks ou de um parceiro comercial.

Se pedirem que você confirme uma cobrança inesperada ou "detalhes de contrato", não responda na hora; retorne a ligação para um número oficial que você mesmo localizar. Quem administra a NewsPicks Enterprise ou a NewsPicks Education para sua organização deve repassar este alerta aos usuários de lá.

A empresa diz que nenhum vazamento de senhas foi confirmado e que não pediu aos usuários que alterem suas senhas. Se você estiver preocupado, ou usar a mesma senha em outros serviços, pode alterá-la no aplicativo oficial, nas configurações da conta em "Configurações e privacidade" — e não por um link em e-mail (passo a passo na central de ajuda da empresa, Alterando sua senha, em japonês).

Um gerenciador de senhas é a forma prática de parar de reutilizar senhas. Para verificar se a sua senha aparece em outros vazamentos, veja como verificar se sua senha foi vazada.

Os canais de contato no comunicado da empresa são um endereço de e-mail (info@newspicks.com) e o formulário de contato na central de ajuda da NewsPicks. Você nunca precisa enviar o número do seu cartão ou sua senha para entrar em contato com eles.

Ferramentas administrativas e de análise usadas apenas por funcionários costumam ser tratadas com menos rigor que o serviço principal, e pode não haver ninguém responsável por suas atualizações. Comece listando as ferramentas administrativas que você usa e anotando, para cada uma, quem a atualiza e para onde chegam os avisos de vulnerabilidade (checklist de inventário de segurança, roteiro de correção de CVE).

Apenas funcionários devem usar uma ferramenta administrativa. Use a rede interna, uma VPN ou restrições por endereço de origem para que a própria página de login não possa ser acessada de fora. Em seguida, direcione os logins por um sistema de login único corporativo (SSO: uma conta que dá acesso a várias ferramentas) e autenticação multifator.

Algumas vulnerabilidades estão em processamentos que ocorrem antes do login, onde senhas e MFA não ajudam. Manter a ferramenta inacessível de fora é a medida que continua funcionando nesse caso (como se defender de vulnerabilidades em dispositivos VPN).

Em geral, o que pode vazar de uma ferramenta administrativa é definido pelo acesso a dados que você concedeu a ela. A empresa também diz que reduziu as permissões de acesso a dados da ferramenta ao mínimo necessário para o trabalho.

No seu próprio ambiente, anote quais dados o usuário de conexão ou a chave de acesso de cada ferramenta administrativa pode ler, e bloqueie os campos que o trabalho não exige (nomes de titulares de cartão, últimos dígitos, datas de nascimento e assim por diante). O uso de visões que expõem apenas parte de uma tabela é explicado em o artigo sobre as violações por exploração do Metabase; a ideia de quem pode fazer o quê é tratada em autenticação versus autorização.

A empresa reemitiu as chaves de acesso para os dados que a ferramenta administrativa podia alcançar. Quando uma ferramenta administrativa é comprometida, as chaves que ela possuía devem ser consideradas vazadas e substituídas. Mantenha uma lista de quais chaves são entregues a quais ferramentas e defina antecipadamente o procedimento de reemissão e quem o executa, para que a resposta no dia seja rápida.