A habilidade dos hackers somada à facilidade com que os kits cibercriminosos invadem empresas online, o número crescente de serviços em rede e pessoas conectadas à internet, não é de surpreender que cada vez mais informação esteja vazando dos servidores corporativos.
Se nunca recebeu um aviso de violação de dados, fique atento, porque irá receber. Um dia desses, você abrirá a home page de seu site de compras favorito e descobrirá quel alguém invadiu os servidores e furtou informação.
A notificação de violação informa que um hacker comprometeu e danificou informação de uma base de dados que pertence a um dos provedores de serviços online. Tais avisos listam os tipos de informação que foi roubada, geralmente inclundo nomes, datas de aniversário, senhas codificadas, endereços de email, telefones e vários outros tipos de informação pessoal. Na maioria dos casos, hackers invadem o sistema corporativo e roubam informações como, números de seguro social, históricos médicos, informações de pagamento e qualquer outro tipo de conteúdo delicado. Algumas companhias oferecem monitoramento de crédito gratuito em caso de roubo de informação fincanceira ou de identidade. Quase todas as companhias tentam minimizar os incidentes, tomando as dores de seus clientes e alegando quanto sua informação pessoal é importante e quão a sério levam a segurança.
A primeira atitude ao receber um aviso de violação de informação deveria ser ler a notificação e analisar os riscos em potenciais dos dados que foram expostos. Se informação delicada ou financeira como ordens de pagamento ou números de seguro social foram comprometidos na violação, então você terá que usar algum tipo de serviço de monitoramento de crédito. O padrão da indústria é que os prestadores do serviço atacado ofereçam um ano, ou mais, de monitoramento de crédito nos casos mais graves. Além disso, você deve permanecer atento a sua informação financeira, cartões de crédito e contas bancárias. Violações que comprometem informação financeira são incomuns, ataques que atingem informação financeira codificada ainda mais. Se descobrir que uma companhia está armazenando informação de pagamento ou outro tipo de dados delicados em texto comum e corrente, abandone o barco, nada declara mais diretamente “Não me preocupo com meus clientes”.
Informação financeira violada é o pior que pode acontecer para a maioria dos clientes. Negócios e governos correm o risco adicional de perda de dados, revelação de segredos de Estado, ou e-mail embaraçosos em incidentes de violação de dados. Nós focaremos no lado do consumidor comum.
A maioria dos avisos informará a seus usuários que a violação em questão expôs senhas hasheadas. Violações de senhas de texto corrido são menos frequentes. Texto corrido significa exatamente o que você está imaginando. Nos casos em que os responsáveis pelo ataque obtêm uma cópia exata de sua senha. Se o aviso de violação diz que suas senhas estavam hasheadas, significa que os agressores tiveram acesso à uma versão encriptada de sua senha. Se as senhas estão armazenadas em texto corrido, você deve modificá-las no serviço atingido, e em qualquer outro onde use a mesma senha, imediatamente. Uma vez mais, você deveria pensar bem se é conveniente manter relação com uma empresa que guarda suas senhas em texto corrido. Mesmo se as senhas estiverem hasheadas você precisa atualizá-las o mais rápido possível, mas entenda que será muito difícil, para não dizer impossível, que um hacker entenda uma senha hasheada.
É melhor trabalhar com a possibilidade realista de que as violações de informação ocorrem mais do que são divulgadas e mudar suas senhas de vez em quando. Quanto mais tempo uma senha em particular é usada mais fácil será de corrompê-la, especialmente se você a usa em diferentes logins. Para cada companhia como like Evernote ou Dropbox que assumem um compromisso, existe pelo menos uma outra que varre uma violação para debaixo do tapete.
Violações não podem ser desfeitas, uma vez que a informação vazou, é para sempre. É melhor estar atento o tempo todo, já que a maior parte da informação roubada serve de arma para golpistas, então mantenha-se a par de atentandos seguindo as violações. Sistemas sociais usam nomes, endereços de email, datas de nascimento e outras informações aparentemente inofensivas para ataques de pishing e desenvolvimento de campanhas inteiras que visam atingir grupos específicos.
Por causa de certas violações, os provedores de serviços online implementarão novas funções de segurança como a autenticação em dois passos ou “HTTPS por todos os lados” para seus serviços. Fique atento a estes casos, e sempre faça um esforço para usar as regras de segurança mais restritas disponíveis, especialmente em contas com informação delicada. Atenção nos grandes desenvolvedores de softwares, mantenedores de navegadores, e controladores de sistemas oprativos como Google, Microsoft, Apple, Adobe entre outros. Em resposta a certos incidentes, as grandes companhias publicarão atualizações e recomendações para evitar violações.
Dicas