Todos os anos, milhares de milhões de registos - e-mails, palavras-passe, informações pessoais - escorrem das empresas para a Internet. Cada escoamento é uma violação de dados, e as probabilidades de que alguns dos seus dados estejam num deles são altas. A boa notícia: embora não possa impedir que uma organização seja violada, pode limitar drasticamente o que uma violação lhe custa a si. Este guia explica o que é uma violação de dados, como acontece, o que fica exposto e como se proteger.
O que é uma violação de dados
Uma violação de dados é um incidente em que dados confidenciais ou sensíveis são acedidos, copiados, expostos ou roubados por alguém não autorizado. Pode ser uma base de dados de clientes pirateada, um servidor na nuvem mal configurado deixado aberto, um insider que divulga registos ou um dispositivo perdido cheio de ficheiros.
As violações são comuns, e os dados roubados não ficam simplesmente parados - alimentam fraude, phishing e apropriação de contas, muitas vezes anos depois.
Como acontecem
- Pirataria & malware - explorando falhas de software ou credenciais roubadas.
- Phishing - enganando os colaboradores para que concedam acesso.
- Má configuração - uma base de dados na nuvem ou um bucket de armazenamento deixado publicamente acessível.
- Ameaças internas - funcionários que divulgam ou roubam dados.
- Perda física - portáteis e discos roubados ou perdidos.
Muitas grandes violações combinam estes fatores. O fio condutor: as organizações guardam enormes quantidades dos seus dados, e qualquer ponto fraco pode expô-los.
O que fica exposto
Consoante o que a organização guardava: e-mails e nomes de utilizador, palavras-passe (por vezes com hash fraco ou em texto simples), nomes, números de telefone, moradas, datas de nascimento - e, nos piores casos, cartões de pagamento, documentos de identificação ou registos de saúde.
Mesmo „apenas“ um par e-mail e palavra-passe é perigoso: os atacantes repetem-no noutros sites (credential stuffing). Quanto mais completo for o perfil vazado, mais propicia o roubo de identidade.
Credential stuffing: porque uma violação se torna muitas
A razão pela qual um único vazamento é tão perigoso é o credential stuffing. Os atacantes pegam nos pares e-mail e palavra-passe de uma violação e testam-nos automaticamente contra centenas de outros sites - bancos, e-mail, compras, redes sociais. Como tantas pessoas reutilizam palavras-passe, uma pequena percentagem dessas tentativas tem sucesso, e um vazamento antigo desbloqueia silenciosamente contas que nunca foram violadas diretamente. É barato, automatizado e funciona em escala massiva.
É por isto que „vou mudá-la naquele site“ não chega: o par vazado está agora em listas trocadas e repetidas durante anos. Uma palavra-passe única por site é a única alteração que quebra a cascata - um vazamento de um serviço deixa de desbloquear seja o que for.
Como verificar se foi afetado
Pode descobrir, gratuitamente:
- Have I Been Pwned (haveibeenpwned.com) permite introduzir um e-mail e ver que violações conhecidas o incluem, e oferece alertas para vazamentos futuros.
- O seu gestor de palavras-passe tem provavelmente uma monitorização de violações integrada (muitas vezes chamada security dashboard ou watchtower) que assinala palavras-passe reutilizadas, fracas ou vazadas em todos os seus acessos.
- Verificações do navegador - Chrome, Firefox e Safari avisam agora quando uma palavra-passe guardada surge numa violação conhecida.
Faça a verificação e depois troque tudo o que for assinalado - começando pelo e-mail e pela banca, as contas que desbloqueiam tudo o resto.
O que fazer se for afetado
- Mude a palavra-passe da conta afetada e em qualquer lugar onde a tenha reutilizado - palavras-passe fortes e únicas (um gestor de palavras-passe facilita isto).
- Ative a 2FA, idealmente resistente a phishing.
- Esteja atento a phishing que faça referência à violação; desconfie de mensagens de „segurança“ urgentes.
- Se vazaram dados de pagamento ou de identidade, monitorize os extratos e pondere alertas de fraude.
- Trate a palavra-passe vazada como permanentemente queimada - nunca a reutilize.
Como limitar os danos antecipadamente
Não pode impedir que uma empresa seja violada, mas pode conter as consequências:
- Palavra-passe única por site - um vazamento nunca desbloqueia outra conta.
- 2FA em todo o lado onde for oferecida.
- Partilhe menos - quanto menos uma organização guarda, menos pode vazar.
- Armazenamento com encriptação ponta a ponta para os ficheiros que controla: mesmo que o fornecedor seja violado, os atacantes obtêm apenas texto cifrado ilegível.
Guias relacionados
Para aprofundar, consulte o que é uma pegada digital.
Ficheiros que o fornecedor não pode deixar vazar → pCloud + Crypto
Jurisdição suíça · Encriptação do lado do cliente (zero-knowledge) com o extra Crypto · Planos vitalícios
Para a encriptação que torna inofensiva uma violação do fornecedor, veja encriptação ponta a ponta e o nosso guia do melhor armazenamento na nuvem encriptado; sobre como os fornecedores guardam os seus dados em primeiro lugar, o que é o armazenamento na nuvem.
Conclusão
Uma violação de dados é a exposição não autorizada de dados confidenciais - e dada a quantidade de informação que as organizações guardam sobre si, parte dela acabará provavelmente por vazar. Não pode evitar as violações delas, mas pode torná-las inofensivas para si: palavras-passe únicas, 2FA, partilhar menos e encriptação ponta a ponta transformam a maioria das violações de um desastre pessoal num não-acontecimento. Parta do princípio de que os seus dados podem vazar e organize a sua segurança de modo a que não importe quando isso acontecer.
Guia editorial baseado em como ocorrem as violações de dados (pirataria, phishing, má configuração, insider, perda física) e nas proteções pessoais padrão (palavras-passe únicas, 2FA, minimização de dados, E2EE). A ligação comercial tem o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliação sem custos adicionais para si.
Perguntas frequentes
- O que é uma violação de dados?
- Uma violação de dados é um incidente em que dados confidenciais, protegidos ou sensíveis são acedidos, copiados, expostos ou roubados por alguém não autorizado a fazê-lo. Pode ser a base de dados de clientes de uma empresa pirateada por criminosos, um servidor na nuvem mal configurado deixado aberto à Internet, um colaborador que divulga registos ou um portátil perdido cheio de ficheiros. Os dados expostos incluem frequentemente e-mails, palavras-passe, informações pessoais, dados de pagamento ou registos de saúde. As violações são comuns - todos os anos vazam milhares de milhões de registos - e os dados roubados alimentam novos ataques como fraude, phishing e apropriação de contas.
- Como acontecem as violações de dados?
- De várias formas. Pirataria e malware que exploram vulnerabilidades de software ou credenciais roubadas; phishing que engana os colaboradores para que concedam acesso; má configuração, como uma base de dados na nuvem ou um bucket de armazenamento deixado publicamente acessível; ameaças internas de funcionários que divulgam ou roubam dados; e perda ou roubo físico de dispositivos. Muitas grandes violações combinam estes fatores - um e-mail de phishing leva a credenciais roubadas, que por sua vez dão acesso a uma base de dados mal segmentada. O fio condutor é que as organizações guardam enormes quantidades dos seus dados, e qualquer ponto fraco pode expô-los.
- Que informações ficam expostas numa violação de dados?
- Depende do que a organização afetada guardava, mas habitualmente: endereços de e-mail e nomes de utilizador, palavras-passe (por vezes com hash fraco ou até em texto simples), nomes, números de telefone, moradas, datas de nascimento e, nos piores casos, dados de cartões de pagamento, documentos de identificação ou registos de saúde. Mesmo „apenas“ um par e-mail e palavra-passe é perigoso, porque os atacantes repetem-no noutros sites (credential stuffing). Quanto mais completo for o perfil vazado, mais propicia o roubo de identidade e a fraude direcionada. Parta do princípio de que qualquer dado que forneça a um serviço pode um dia surgir numa violação.
- O que devo fazer se os meus dados forem violados?
- Aja depressa. Mude a palavra-passe da conta afetada e em qualquer lugar onde a tenha reutilizado, usando palavras-passe fortes e únicas (um gestor de palavras-passe facilita isto). Ative a autenticação de dois fatores, idealmente um método resistente a phishing. Esteja atento a phishing que faça referência à violação e desconfie de mensagens de „segurança“ urgentes. Se vazaram dados de pagamento ou de identidade, monitorize os extratos financeiros e pondere alertas de fraude. Verifique se as suas contas aparecem em violações conhecidas e trate a palavra-passe vazada como permanentemente queimada - nunca a volte a usar.
- Como posso limitar os danos de uma violação de dados?
- Não pode impedir que uma empresa sofra uma violação, mas pode conter o que isso lhe custa. Use uma palavra-passe única por site, para que um vazamento nunca desbloqueie outra conta. Ative a 2FA sempre que for oferecida. Partilhe menos dados - quanto menos uma organização guarda sobre si, menos pode vazar. Para os ficheiros que controla, use armazenamento com encriptação ponta a ponta (zero-knowledge), para que, mesmo que o fornecedor seja violado, os atacantes obtenham apenas texto cifrado ilegível. Minimização mais palavras-passe únicas mais 2FA transformam, para si, a maioria das violações de um desastre num não-acontecimento.
Armazenamento cloud cifrado → pCloud
Sediada na Suíça · add-on Crypto do lado do cliente · planos vitalícios
