Bilhões de Números de Telefone Vazados podem Levar ao Roubo do Controle das Contas

Dados isolados raramente são particularmente valiosos, se acessados de forma isolada. Isso provou ser verdade mais uma vez quando mais de 3,5 bilhões de números de telefone vazaram do Clubhouse - um serviço de mídia social que se concentra na interação de áudio. No entanto, os dados não permaneceram isolados por muito tempo.

Inicialmente, uma entidade que teve acesso ao vazamento de bilhões de números de telefone publicou os dados em um fórum clandestino de hackers, gratuitamente para todos os interessados. As coisas ficaram interessantes quando um terceiro começou a trabalhar com o vazamento de dados. Outro mau autor pegou os números vazados e começou a combiná-los com outro vazamento de dados composto por mais de meio bilhão de perfis do Facebook vazados no início de 2021.

Depois que os dois conjuntos de dados foram cuidadosamente combinados e emparelhados, os dados combinados agora valem $100.000 e estão à venda na Dark Web. A ThreatPost citou a agência de segurança CyberNews, que relatou que os dados são vendidos a granel e em partes menores, a preços mais acessíveis.

Os dados combinados recém-surgidos agora podem ser bem aproveitados por malfeitores, que podem usá-los em ataques de tomada de controle de conta. Os meios de comunicação ainda citaram o pesquisador de segurança Brian Uffelman, analista da PerimeterX, que afirmou que as tentativas de tomada de conta representaram quase 85 por cento do total de tentativas de login na última metade de 2020 - uma porcentagem assustadoramente grande.

Os dados podem ser usados para uma série de vetores de ataque, desde o envio de mensagens SMS falsas no que é conhecido como smishing, com conteúdo especialmente personalizado e confiável, até a tentativa de roubo mesquinho de cartões de presente e outros itens financeiramente atraentes acessíveis por meio de contas comprometidas. Dados estruturados como esses também podem ser usados para segmentação e personalização de anúncios com precisão de laser, se adquiridos por redes de anúncios.

Incidentes como este mostram apenas que as informações podem ter valor e poder, especialmente quando conjuntos de dados separados são combinados em novas estruturas.