O aviso vira roteiro
Um aviso de violação informa ao público qual organização foi afetada, que tipo de dados esteve envolvido e como os clientes serão contatados. Os fraudadores reutilizam exatamente esses detalhes. Mensagens que mencionam a violação, citam o aviso e prometem indenização ou uma verificação de segurança parecem críveis porque a violação em si é real.
Como é a onda
Nos compostos anonimizados que estudamos, o padrão se repete: domínios semelhantes registrados poucos dias após o aviso, mensagens de texto e e-mails que direcionam para páginas falsas de suporte ou de reembolso e serviços falsos que oferecem remover dados vazados mediante pagamento. Os mesmos canais que divulgam o vazamento costumam veicular também essas iscas.
Sinais que os defensores podem acompanhar
Novos registros de domínio e entradas de certificate transparency que contenham o nome da marca, páginas de pagamento que copiam o design da organização e publicações públicas que oferecem verificar se uma conta foi afetada. Cada um desses itens pode ser capturado, ter o hash gerado e ser enviado ao registrador, ao provedor de hospedagem ou à central de abuso, sem tocar nos próprios dados vazados.
O que ajuda os clientes
Orientações claras e repetidas funcionam melhor do que um único aviso: quais canais a organização usa, o que ela nunca solicitará e onde denunciar uma mensagem suspeita. Publicar os domínios oficiais e os números de suporte facilita a identificação de domínios semelhantes, tanto para os clientes quanto para os serviços que os bloqueiam.
Como abordamos o tema
Monitoramos passivamente fontes públicas em busca da marca afetada e de seus fornecedores e informamos o que encontramos à organização, de forma privada. Não interagimos com as pessoas que conduzem uma campanha, não compramos nem baixamos dados vazados e não publicamos detalhes de uma violação que não tenha sido confirmada publicamente.