Nos últimos dias, a internet foi inundada com notícias alarmantes sobre a "mãe de todas as fugas de dados", gerando uma onda de pânico. No entanto, a realidade por detrás dos títulos sensacionalistas é bem menos assustadora do que parece. Não se trata de uma nova falha de segurança gigante, mas sim de algo que já conhecemos bem.
A verdade é que esta mega compilação não resulta de um ataque recente aos websites mencionados. Em vez disso, é uma enorme coleção de credenciais de acesso (utilizador e password) que já circulavam na dark web, por vezes há anos. Foram simplesmente agregadas por uma empresa de cibersegurança, investigadores ou até mesmo por outros cibercriminosos e reembaladas numa única base de dados massiva.
A descoberta desta compilação, que esteve brevemente exposta na internet, foi feita pelo site de cibersegurança Cybernews. Segundo a sua análise, o formato dos dados é consistente com o que é extraído por malware do tipo "infostealer".
O que são os 'infostealers' e porque são um perigo?
Um "infostealer" (ladrão de informação, em tradução livre) é um tipo de malware desenhado especificamente para um propósito: roubar credenciais, carteiras de criptomoedas e outros dados valiosos guardados no seu dispositivo. Este tipo de software malicioso afeta tanto sistemas Windows como macOS.
Quando um dispositivo é infetado, o infostealer faz uma varredura completa ao sistema, procurando por todas as credenciais guardadas nos seus navegadores, ficheiros e outras aplicações. O resultado é um "log" (registo), que contém listas de dados de acesso, geralmente no formato:
URL:nome_de_utilizador:password
Por exemplo:
https://www.facebook.com/:joaosilva@email.com:PasswordForte123https://www.bancoxyz.pt/login:jsilva:Lisboa2025!https://x.com/login:joao.silva:RedeSocialSegura#
Se uma pessoa tiver centenas de passwords guardadas no seu browser, o infostealer rouba-as todas de uma só vez. Estes logs são depois enviados para o atacante, que os pode usar para lançar outros ataques ou vendê-los em mercados de cibercrime.
O verdadeiro problema: um mercado negro de credenciais
A proliferação de infostealers tornou-se tão grave que as credenciais comprometidas são hoje uma das principais portas de entrada para ataques a redes empresariais e contas pessoais. O problema é de tal forma grande que as autoridades a nível mundial têm intensificado o combate a estas operações, como visto em ações recentes.
Para ganhar reputação na comunidade de cibercrime ou para promover serviços pagos, muitos atacantes libertam gratuitamente enormes compilações de credenciais em plataformas como o Telegram, Pastebin ou Discord. Milhões de dados de acesso são partilhados abertamente, e a recente "mãe de todas as fugas" é muito provavelmente o resultado da junção de muitas destas listas gratuitas.
Esta não é a primeira vez que vemos algo do género. No passado, compilações como a "RockYou2024", com mais de 9 mil milhões de registos, ou a "Colection #1", com 22 milhões de passwords únicas, já tinham causado alarme semelhante. Não há, até agora, evidências de que esta nova compilação contenha dados que já não fossem conhecidos.
Não entre em pânico. Faça isto para se proteger
Saber que uma quantidade massiva de credenciais foi novamente compilada e partilhada é preocupante, mas a solução não é correr em círculos a mudar todas as passwords. A chave é adotar e manter bons hábitos de cibersegurança.
Verifique se o seu sistema está limpo: Se suspeita que o seu computador pode estar infetado, o primeiro passo é analisá-lo com um programa antivírus de confiança. De nada adianta mudar as passwords se o infostealer continuar ativo para roubar as novas.
Use um gestor de passwords: A regra de ouro é ter uma password única e forte para cada serviço online. Como é impossível memorizar dezenas de passwords complexas, utilize um gestor de passwords (como o Bitwarden ou o 1Password) para as criar e guardar em segurança.
Ative a autenticação de dois fatores (2FA): Mesmo que um atacante consiga a sua password, a 2FA cria uma segunda barreira de proteção. Opte sempre por aplicações de autenticação (como o Google Authenticator, Microsoft Authenticator ou Authy) em vez de códigos por SMS, que são vulneráveis a ataques de "SIM-swapping".
Verifique se foi "apanhado": Para verificar se as suas credenciais já foram expostas em fugas de dados conhecidas, pode utilizar serviços de confiança como o Have I Been Pwned.
Se ainda utiliza a mesma password em vários sites, esta é a altura ideal para mudar esse hábito. Ao adotar estas práticas, fugas de dados como esta tornam-se muito menos perigosas para si.
Nenhum comentário
Seja o primeiro!