16 mil milhões de palavras-passe expostas na maior fuga de dados de sempre
Segundo o portal Cybernews, foram encontradas 16 mil milhões de palavras-passe online, vindas de infostealers (malware que rouba dados) e outros métodos de ataque. Entre os ficheiros estão dados associados a serviços como Google, Facebook, Apple, GitHub, Telegram, Zoom entre outros.
O que aconteceu?
Os investigadores da Cybernews identificaram 30 bases de dados distintas, com conjuntos de dados que totalizam 16 mil milhões de entradas. Estes dados incluem usernames, palavras-passe, cookies, tokens e metadados. Muitas destas fugas, são bastante recentes.
Segundo o investigador Bob Diachenko, não houve qualquer violação de dados centralizada em nenhuma destas grandes empresas, mas isso não significa que nenhum login tenha sido comprometido e colocado na dark web.
"As credenciais que encontrámos em registos de infostealers incluíam URLs de login das páginas da Apple, Facebook e Google".
O perigo é real
O volume e estrutura destes dados podem permitir ataques em massa, desde phishing altamente direcionado a roubo de identidade e controlo de contas. Ainda mais preocupante é o facto de que algumas cookies expostas podem permitir acesso mesmo sem a palavra-passe.
O problema das Cookies mal implementadas
Em websites mal desenvolvidos, cookies de sessão podem tornar-se um ponto fraco crítico na segurança do utilizador. As cookies, que são nada mais do que pequenas peças de informação guardadas no navegador, podem conter tokens de autenticação, identificadores de sessão ou até dados sensíveis se forem mal implementadas. Pior ainda: alguns serviços não invalidam as cookies mesmo depois da mudança de palavras-passe, permitindo que um invasor continue a aceder à conta sem precisar de novas credenciais.
Este tipo de falha é muito explorado por infostealers, que recolhem cookies e conseguem aceder a contas, por vezes contornando mesmo a autenticação em dois fatores (2FA).
O que fazer para se proteger
-
Atualizar todas as palavras-passe
-
Usa passwords únicas e fortes - sites de segurança como o Avast ou LastPass, podem gerar este tipo de palavras-passe gratuitamente
-
Ativar a autenticação de dois fatores (2FA) em todas as contas
-
Monitorizar regularmente as tuas contas para atividades estranhas ou não solicitadas
-
Contactar o suporte do website ao notar algo estranho
