Milhões de denúncias de crimes podem ter ficado expostas depois de um hacker ter afirmado ter comprometido os sistemas utilizados pelos programas Crime Stoppers e por outras organizações em todo o mundo.
O incidente envolve a P3 Global Intel, uma empresa sediada no Texas que fornece software de gestão de denúncias e informações de inteligência na nuvem, propriedade da Navigate360.
Os hacktivistas, conhecidos como «Internet Yiff Machine», enviaram os dados roubados ao Straight Arrow News (SAN). De acordo com a SAN, o grupo forneceu um conjunto de mais de 8,3 milhões de registos que teriam sido obtidos da P3. Os dados abrangem um período que vai desde 1987 até 2025 e incluem, alegadamente, denúncias de crimes enviadas através de programas Crime Stoppers, agências de aplicação da lei, escolas e partes do governo federal dos EUA.
A SAN afirmou ter verificado partes do conjunto de dados contactando informadores cujos dados constavam nos registos. O arquivo de fugas «Distributed Denial of Secrets» (DDoSecrets) afirmou ter recebido igualmente uma cópia e tencionar partilhá-la com jornalistas e investigadores credenciados.
Se os dados forem autênticos, parecem conter informações pessoais detalhadas sobre indivíduos acusados nas denúncias, incluindo nomes, endereços, números de telefone, datas de nascimento, matrículas, números de segurança social e outros identificadores. Apesar dos materiais de marketing que prometem aos denunciantes que a sua identidade «permanecerá anónima em todos os momentos», a SAN relata que os dados pessoais de alguns denunciantes que forneceram essas informações também aparecem ao longo do conjunto de dados. O cache inclui alegadamente também detalhes de contas de utilizador, pedidos de apoio ao cliente, boletins internos das autoridades policiais e IDs de mensagens não encriptadas e palavras-passe utilizadas pelos informadores para acompanhar as denúncias.
A Navigate360, empresa-mãe da P3, não confirmou a ocorrência de uma violação nem o âmbito de qualquer exposição de dados. Numa declaração à SAN, o CEO da Navigate360, JP Guilbault, afirmou:
«Até ao momento, não confirmámos que tenha havido acesso ou utilização indevida de qualquer informação confidencial.»
No entanto, a empresa contratou um prestador de serviços forenses externo após ter tomado conhecimento de um possível incidente na rede. Segundo consta, os sistemas da P3 continuam operacionais enquanto a investigação decorre.
As reações das autoridades sugerem que, pelo menos alguns clientes estão a considerar o incidente como um risco grave, mesmo na ausência de uma confirmação técnica completa. O Departamento de Polícia de Portland, que utiliza o Crime Stoppers, aconselhou publicamente os residentes a «absterem-se temporariamente» de enviar denúncias através da plataforma Crime Stoppers enquanto a situação está a ser analisada.
Numa declaração citada pela imprensa local e nacional, a polícia afirmou estar ciente de relatos sobre uma potencial violação de dados num serviço externo utilizado para recolher denúncias anónimas e que, «por uma questão de precaução», estava a pedir aos membros da comunidade que evitassem utilizar esse serviço por enquanto. Em vez disso, a polícia de Portland está a orientar as pessoas que estejam dispostas a fornecer informações não anónimas a contactarem diretamente o departamento.
«Anónimo» não é uma garantia técnica
De acordo com a SAN, o P3 poderá recolher informações sobre as sessões a partir de denúncias enviadas pela Web e por dispositivos móveis. Se for esse o caso, as partes interessadas poderão potencialmente utilizar esses dados para ajudar a identificar informadores anónimos, o que realça que o facto de ser «anónimo» não constitui uma garantia técnica. Embora nenhum método seja infalível, os especialistas recomendam os seguintes passos ao denunciar um crime:
- Utilize um navegador que privilegie a privacidade e uma VPN de confiança para ocultar o seu endereço IP real.
- Evite incluir informações que possam ser associadas a si, como «o meu vizinho», «o meu chefe» ou «o meu ex».
- Se um formulário de denúncia exigir dados de contacto, pondere se se sente à vontade com o facto de a denúncia deixar de ser anónima.
- Remova os metadados dos ficheiros que carregar (fotografias, documentos, vídeos), uma vez que estes podem conter coordenadas GPS, identificadores de dispositivos e registos de data e hora.
O que fazer se os seus dados foram violados
Se acha que foiafetado por uma violação de dados, eis algumas medidas que pode tomar para se proteger:
- Verifique as orientações da empresa.Cada violação é diferente, portanto, verifique com a empresa para saber o que aconteceu e siga todas as orientações específicas que ela oferecer.
- Altere a sua palavra-passe. Pode tornar uma palavra-passe roubada inútil para os ladrões alterando-a. Escolha uma palavra-passe forte que não utilize para mais nada. Melhor ainda, deixe que um gestor de senhas escolha uma para si.
- Ativea autenticação de dois fatores (2FA).Se possível, use uma chave de hardware, laptop ou telefone compatível com FIDO2 como seu segundo fator. Algumas formas de 2FA podem ser alvo de phishing tão facilmente quanto uma palavra-passe, mas a 2FA que depende de um dispositivo FIDO2 não pode ser alvo de phishing.
- Cuidado com os impostores.Os ladrões podem entrar em contacto consigo fingindo ser a plataforma invadida. Verifique o site oficial para ver se está a entrar em contacto com as vítimas e verifique a identidade de qualquer pessoa que entre em contacto consigo usando um canal de comunicação diferente.
- Não tenha pressa. Os ataques de phishing fazem-se frequentemente passar por pessoas ou marcas que conhece e utilizam temas que requerem atenção urgente, como entregas não efectuadas, suspensões de contas e alertas de segurança.
- Considere não guardar os dados do seu cartão. É definitivamente mais conveniente permitir que os sites guardem os dados do seu cartão, mas isso aumenta o risco caso um retalhista sofra uma violação de segurança.
- Configureo monitoramento de identidade, que alerta seassuasinformações pessoaisforem encontradas sendo comercializadas ilegalmente online e ajuda na recuperação após o ocorrido.
Não nos limitamos a informar sobre a privacidade - oferecemos-lhe a opção de a utilizar.
Os riscos para Privacy nunca devem ir além de uma manchete. Mantenha a sua privacidade online utilizando o Malwarebytes Privacy VPN.
