Vazam dados de 235 milhões de perfis de usuário do Instagram, TikTok e YouTube – Neotel Segurança Digital
Vazam dados de 235 milhões de perfis de usuário do Instagram, TikTok e YouTube. Após vazamento especialistas alertaram sobre o risco de phishing.
A Forbes publicou em 19 de agosto, que a equipe de pesquisa de segurança da Comparitech divulgou como um banco de dados inseguro deixou quase 235 milhões de perfis de usuários do Instagram, TikTok e YouTube expostos online.
Recentemente, houve uma série de relatórios sobre dados de contas que aparecem em fóruns de crimes cibernéticos da dark web, sugerindo que há atualmente 15 bilhões de logins roubados de 100.000 violações por aí, além do que hacker distribuiu 386 milhões de registros roubados gratuitamente . Nem todos esses dados terão sido hackeados, pelo menos não no sentido usual da palavra: alguns, como foi provavelmente o caso no incidente do Utah Gun Exchange , terão sido expostos por um banco de dados não seguro.
O problema de banco de dados inseguro
Bancos de dados inseguros estão rapidamente se tornando um problema de proteção de dados tão grande que se pensa que um pesquisador de segurança vigilante está por trás da onda de ataques "Miau" que substituíram os índices de milhares desses bancos de dados. Foi em um banco de dados desprotegido que os pesquisadores da Comparitech, liderados por Bob Diachenko, descobriram em 1º de agosto, deixando os dados de perfil pessoal de quase 235 milhões de usuários do Instagram, TikTok e YouTube para serem obtidos .
Os dados foram espalhados por vários conjuntos de dados; o mais significativo sendo dois chegando a pouco menos de 100 milhões cada e contendo registros de perfil aparentemente retirados do Instagram. O terceiro maior foi um conjunto de dados de cerca de 42 milhões de usuários do TikTok, seguido por pouco menos de 4 milhões de perfis de usuários do YouTube.
Três cópias idênticas dos dados foram hospedadas em três endereços IPv6 separados. No total, cada um armazenou dados em cerca de 235 milhões de perfis de mídia social. Aqui está uma análise dos maiores conjuntos de dados:
96.714.241 registros retirados do Instagram
95.678.713 registros retirados do Instagram
42.129.799 registros retirados do TikTok
3.955.892 registros retirados do Youtube
Segundo a Forbes, a Comparitech diz que, com base nas amostras que coletou, um em cada cinco registros continha um número de telefone ou endereço de e-mail. Cada registro também incluía pelo menos algumas, às vezes todas, as seguintes informações:
Nome verdadeiro completo
Estatísticas sobre o envolvimento do seguidor, incluindo:
Carimbo de data e hora da última postagem
"A informação provavelmente seria mais valiosa para spammers e cibercriminosos que executam campanhas de phishing", diz Paul Bischoff, editor da Comparitech. "Mesmo que os dados sejam acessíveis ao público, o fato de terem vazado em conjunto como um banco de dados bem estruturado os torna muito mais valiosos do que cada perfil seria isoladamente", acrescenta Bischoff. Na verdade, Bischoff me disse que seria fácil para um bot usar o banco de dados para postar comentários de spam direcionados em qualquer perfil do Instagram que corresponda aos critérios, como sexo, idade ou número de seguidores.
Rastreando a origem dos dados vazados
Então, de onde todos esses dados se originaram? Os pesquisadores sugerem que as evidências, incluindo nomes de conjuntos de dados, apontavam para uma empresa chamada Deep Social. No entanto, Deep Social foi banido tanto pelo Facebook quanto pelo Instagram em 2018 depois de coletar dados de perfil de usuário. A empresa foi encerrada algum tempo depois disso.
Um porta-voz de uma empresa do Facebook me disse que "extrair informações das pessoas do Instagram é uma violação clara de nossas políticas. Revogamos o acesso do Deep Social à nossa plataforma em junho de 2018 e enviamos um aviso legal proibindo qualquer coleta de dados adicional."
Assim que os pesquisadores encontraram o banco de dados e as pistas de sua origem, "enviamos um alerta ao Deep Social, presumindo que os dados pertenciam a eles", disse Bischoff. Os administradores do Deep Social então encaminharam a divulgação para uma empresa de marketing de dados, influenciadora de mídia social registrada em Hong Kong, chamada Social Data. "Os dados sociais desligaram o banco de dados cerca de três horas após nosso e-mail inicial", diz Bischoff.
Social Data respondem ao incidente de exposição do banco de dados
A Social Data negou qualquer conexão entre ela e o Deep Social, de acordo com o relatório da Comparitech. Também deve ficar claro que os dados vazados, os dados do perfil público das redes sociais estão disponíveis para qualquer pessoa que visite as contas dos usuários. No entanto, o risco de phishing é claramente ampliado, uma vez que esse monte de perfis é coletado em um banco de dados bem estruturado. Não se sabe no momento quanto tempo o banco de dados ficou exposto sem uma senha antes da descoberta de 1º de agosto. O relatório da Comparitech aponta que: "Nossos experimentos com honeypots mostram que os hackers podem encontrar e atacar bancos de dados inseguros horas após serem expostos."
A Forbes entrou em contato com o Social Data, e um porta-voz forneceu a seguinte declaração:
"Coletamos dados e os enriquecemos com informações úteis adicionais exclusivamente em nome de nossos clientes de boa reputação, que os usam estritamente para os fins pretendidos. É extremamente triste que este incidente tenha ocorrido devido a uma mistura de eventos infelizes. No entanto, assim que soubemos do incidente o consertamos imediatamente. Desde então, trabalhamos de perto com os especialistas em segurança da informação na auditoria de nossa infraestrutura de segurança e no aumento dos níveis necessários de segurança da informação para evitar ocorrências semelhantes no futuro. "
Web scraping é uma tarefa automatizada que copia dados e informações de páginas da web em massa. Embora o Social Data insista que apenas colete o que é publicamente acessível, a prática vai contra os termos de uso do Facebook, Instagram, TikTok e Youtube. Os scraping bots automatizados podem ser difíceis de distinguir dos visitantes normais do site, portanto, as empresas de mídia social têm dificuldade em impedir que acessem perfis de usuário até que seja tarde demais.