2019 mal começou e o mundo acaba de presenciar o primeiro grande vazamento de senhas. Apelidado de Collection #1, os arquivos reúnem mais de 1,1 bilhão de e-mails e senhas (772 milhões de e-mails únicos e 21.222.975 senhas únicas). Os arquivos brutos que foram postados no serviço Mega (sucesso do Megaupload) possuem, no total, 2,6 bilhões de registros e, após um processo de filtragem, foram reduzidos a 772 milhões de endereços de e-mails únicos, que produzindo assim 1.160.253.228 diferentes combinações de e-mails e senhas.
O vazamento foi anunciado originalmente por Troy Hunt, um pesquisador de segurança da informação que mantém o site Have I Been Pwned (HIBP), no qual é possível verificar se seu e-mail foi comprometido em algum vazamento de dados. No blog, Hunt afirma que um arquivo zip contendo 12.000 arquivos separados, totalizando 87 Gb de dados, foi publicado no serviço MEGA. A partir daí, estes arquivos começaram a ser copiados em fóruns da comunidade hacker.
(Fonte: https://www.zdnet.com/article/over-87gb-of-email-address-and-passwords-exposed-in-collection-1-dump/)
Os dados que foram vazados aparentam ser uma fusão de mais de 2 mil bases de dados. A origem dos dados ainda é desconhecida, mas existem indícios que esses dados foram obtidos a partir de um bases de dados que tiveram seus mecanismos de criptografia quebrados. Em seu post no blog, Troy aponta uma lista de sites que tiveram suas bases de dados roubadas.
A melhor maneira para saber se seus dados foram comprometidos é acessar o site have i been pwned?, e fazer uma busca utilizando seu endereço de e-mail ou ainda sua senha (em seções separadas do site). O site mantém (de maneira segura) uma lista completa com todos os grandes vazamentos de dados na Internet. Segundo o site, já foram expostos 6.474.028.664 de dados sensíveis de usuários. O site ainda conta com uma opção gratuita de notificação, caso seu e-mail apareça em algumas destas listas, o site envia uma notificação.
Exemplo de notificação do site.
Caso algum e-mail ou senha sua tenha sido comprometido, a melhor coisa a se fazer é literalmente manter a calma e sair alterando sua senha em todos os sites onde ela esteja sendo usada. Tente se lembrar de todos os possíveis sites e serviços onde você possa ter cadastrado essa senha e altere todos.
Um endereço de e-mail meu que foi comprometido.
É sempre bom enfatizar que usar a mesma senha para diversos serviços é altamente desaconselhável, e para ajudar a manter a casa em ordem, aplicativos como o LastPass, 1Password e o SafeInCloud vieram para facilitar o gerenciamento seguro de senhas. Estes aplicativos são responsáveis por organizar e armazenar, de maneira criptografada, os diversos usuários e senhas usados nos sites ou aplicativos.