350 milhões de e-mails foram encontrados em um balde que pode ter sido exposto desde 2018

Quando você insere seu endereço de e-mail em um formulário de registro, tem certeza de onde ele irá parar? A resposta é 'não, você não é'. Você pode pensar que apenas o provedor de serviços com o qual está criando uma conta vai ver, mas a verdade é que, muitas vezes, esse não é o caso.

Além do fato de que alguns operadores de sites compartilham seus dados com terceiros (com ou sem o seu consentimento), seus dados pessoais também podem ser roubados. Quando os hackers os pegam, eles podem usá-los para suas próprias campanhas maliciosas ou podem vendê-los para outros cibercriminosos. Eles também podem colocá-los em um bucket do Amazon S3 configurado incorretamente e esquecê-los por 18 meses.

Os pesquisadores encontram um tesouro esquecido de endereços de e-mail em um balde S3 exposto

No início de junho, uma equipe de pesquisadores da CyberNews encontrou o próximo em uma linha muito longa de buckets AWS S3 desprotegidos que contêm as informações pessoais de milhões de usuários desavisados.

A investigação não conseguiu determinar o proprietário do intervalo, razão pela qual notificaram a Amazon diretamente e, em 10 de junho, os dados foram colocados offline. Até então, no entanto, ele já estava exposto há pelo menos 18 meses. Durante esse período, qualquer pessoa que soubesse onde procurar poderia ter acessado os dados contidos nele. Mas o que o balde furado expôs exatamente?

A boa notícia é que os pesquisadores não encontraram nenhuma senha, detalhes de cartão de crédito, números de previdência social ou outras informações que pudessem levar diretamente ao roubo de identidade. Em vez disso, o balde continha um total de 350 milhões de endereços de e-mail exclusivos que, de acordo com a CyberNews, foram roubados em 2018.

Embora este esteja longe de ser o maior vazamento de dados que já vimos, o número é definitivamente significativo. Os usuários afetados correm um risco muito real de receber uma enxurrada de emails de spam e, se os invasores estiverem motivados o suficiente, as vítimas também podem ser alvo de campanhas mais sinistras. A CyberNews montou um verificador do tipo HaveIBeenPwned que pode dizer se o seu endereço de e-mail estava no balde exposto.

Os dados têm percorrido uma longa jornada

Ter seu endereço de e-mail exposto sem o seu consentimento não é agradável, mas deve ser dito que a falta de qualquer informação particularmente sensível minimizou o dano potencial que o vazamento poderia causar. Na verdade, o que é mais preocupante é o número de perguntas sem resposta sobre a origem dos dados.

Havia um total de 67 arquivos no intervalo S3, mas os dados de email expostos estavam em 21 deles. Sete planilhas CSV continham os endereços em forma de hash. Outros sete CSVs continham os mesmos dados, apenas hash e salgados com o algoritmo MD5 fraco. As sete planilhas finais continham os 350 milhões de endereços de e-mail em texto simples.

Os carimbos de data / hora dos arquivos sugerem que, inicialmente, os dados foram criptografados com um algoritmo que a CyberNews não nomeou. Os cibercriminosos aparentemente o quebraram e descobriram que quem coletou os dados havia colocado proteção adicional com MD5. Depois de passarem por isso, os hackers acabaram com os dados de texto simples.

Claro, a origem dos e-mails permanece desconhecida, o que significa que tudo isso é mais ou menos especulação. Além dos e-mails, o balde furado também continha gravações de voz de discursos de vendas relacionados a uma empresa agora extinta chamada RepWatch. RepWatch não deixou quase nenhum vestígio online, mas pelo que parece, foi um serviço de monitoramento de reputação que ajudou os profissionais de marketing online a atingir seus alvos com mais facilidade. Ele parou de funcionar muito antes de os arquivos CSV encontrarem seu caminho para o balde Amazon exposto, então é realmente difícil dizer se há uma conexão.

Do jeito que as coisas estão, há mais perguntas do que respostas. Pelo que sabemos, a organização que originalmente coletou os endereços de e-mail pode nem estar ciente do roubo. O único forro de prata para os usuários afetados é que nenhum outro dado parece ter sido exposto por este balde em particular. No entanto, as vítimas devem manter os olhos abertos para quaisquer fraudes em potencial.