Foto: iStockphoto
Nova York – Pesquisadores do portal independente de cibersegurança Cybernews revelaram, na última quarta-feira (18), a existência de um vazamento massivo que expôs cerca de 16 bilhões de credenciais — como logins e senhas — coletadas por infostealers, que são softwares maliciosos usados para roubar dados diretamente dos dispositivos das vítimas.
Segundo os especialistas, trata-se da maior exposição de dados desse tipo já registrada, superando compilações anteriores como o conhecido RockYou2024.
De acordo com a investigação, os dados estavam distribuídos em mais de 30 bancos de dados diferentes, o que levanta dúvidas sobre a possibilidade de registros duplicados.
Apesar disso, os pesquisadores enfatizam que muitos desses conjuntos contêm informações recentes e ainda não identificadas em vazamentos anteriores, o que os torna altamente exploráveis por cibercriminosos.
A grande preocupação está na origem dos dados. Diferentemente de violações tradicionais, que ocorrem quando hackers invadem servidores de grandes empresas, como Google, Apple ou Meta, este megavazamento teria sido causado por infostealers instalados nos computadores de usuários comuns, sem que houvesse necessariamente uma falha de segurança nas plataformas online.
Esses malwares operam de forma silenciosa e são capazes de roubar, além de logins e senhas, cookies, dados de preenchimento automático, tokens de autenticação e informações de carteiras de criptomoedas.
Entre os dados comprometidos, o Cybernews identificou credenciais que podem dar acesso a serviços como Apple, Google, Facebook, GitHub, Telegram e até sistemas governamentais. O conteúdo dos arquivos aponta que muitos registros pertencem a usuários que falam português, embora ainda não haja confirmação sobre o número de brasileiros afetados.
A repercussão levou especialistas a questionar a real dimensão do vazamento. O site Bleeping Computer argumentou que parte das credenciais pode ter sido apenas recompilada a partir de vazamentos anteriores.
A empresa de cibersegurança Hudson Rock também manifestou ceticismo quanto ao número divulgado. Segundo seus cálculos, considerando que um infostealer rouba em média 50 credenciais por dispositivo, seriam necessários mais de 320 milhões de computadores infectados para atingir os 16 bilhões de dados divulgados. Isso indicaria, segundo a empresa, a presença de informações redundantes, desatualizadas ou até mesmo geradas artificialmente.
Apesar das críticas, a Cybernews mantém a posição de que o vazamento é preocupante e inédito em escala. O especialista Troy Hunt, criador do site Have I Been Pwned, que monitora violações de dados, informou que está analisando os arquivos para verificar se há material inédito que justifique inclusão em sua base pública. Ainda não se sabe o impacto exato do vazamento nem quantas pessoas foram afetadas.
Como se proteger contra o roubo de dados pessoais
- Use senhas fortes e únicas para cada serviço. Evite reutilizar a mesma senha em vários sites. Combine letras maiúsculas, minúsculas, números e símbolos.
- Ative a autenticação em dois fatores (MFA). Sempre que possível, use apps autenticadores (como Google Authenticator ou Authy) em vez de SMS.
- Use um gerenciador de senhas confiável. Ferramentas como Bitwarden, 1Password ou o gerenciador do Google ajudam a armazenar e criar senhas seguras.
- Evite clicar em links ou baixar anexos de e-mails suspeitos. Muitos infostealers chegam por phishing. Desconfie até de remetentes conhecidos se a mensagem for estranha.
- Mantenha o sistema e os programas sempre atualizados. Atualizações corrigem falhas de segurança exploradas por malwares.
- Instale e mantenha um antivírus confiável. Ele pode detectar infostealers e outras ameaças antes que roubem seus dados.
- Evite instalar softwares de fontes desconhecidas. Programas piratas e cracks costumam carregar malwares escondidos.
- Use conexões seguras (HTTPS e VPN). Ao navegar em redes públicas (cafés, aeroportos etc.), utilize uma VPN.
- Monitore e-mails e contas com ferramentas de alerta. Sites como Have I Been Pwned avisam se seu e-mail aparece em vazamentos.
Se seus dados já foram roubados, o que fazer?
- Troque imediatamente as senhas das contas afetadas. Comece pelas mais sensíveis: e-mail, banco, redes sociais e lojas online.
- Saia de todas as sessões ativas nos dispositivos. Muitos serviços têm a opção “sair de todos os dispositivos” — use-a.
- Habilite o MFA em todas as contas possíveis. Mesmo que o invasor tenha a senha, não conseguirá entrar sem o segundo fator.
- Revogue acessos de aplicativos e sessões suspeitas. Verifique se há apps ou dispositivos conectados à sua conta que você não reconhece.
- Verifique contas bancárias e cartões de crédito. Procure por transações estranhas e ative alertas no app do banco.
- Considere migrar para passkeys (acesso sem senha). Plataformas como Google, Apple e Microsoft já oferecem esse recurso baseado em biometria.
- Informe o vazamento às plataformas envolvidas. Muitas empresas têm canais específicos para segurança e podem bloquear ou proteger sua conta.
- Tenha atenção redobrada com novos e-mails ou mensagens. Vazamentos aumentam o risco de receber tentativas de golpe com base nas informações expostas.
Fontes: Google Safety Center, Microsoft Security Blog e CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil)
