Dados de mais de 1,5 milhão de usuários do James Delivery vazam na internet

Um vazamento de dados expôs as credenciais de acesso de 1,5 milhão de usuários do James Delivery, um dos principais serviços de entrega de restaurantes e supermercados do Brasil. Informações como e-mail e senha para acesso à plataforma de pedidos, assim como a localização geográfica de seus usuários, foram comprometidas por hackers e vinham sendo vendidas pelos criminosos em fóruns dedicados a isso.

O comprometimento teria acontecido em março deste ano, com as informações sendo comercializadas a partir de junho. Um alerta emitido nesta quinta-feira (05) pelo site Have I Been Pwned?, porém, trouxe o caso de volta à luz; e, também, informou individualmente os usuários cadastrados no serviço que fazem parte do vazamento. A página de segurança permite que e-mails sejam registrados em um banco de dados para notificações sobre comprometimentos desse tipo.

Segundo as informações do Have I Been Pwned?, o banco de dados vazados é constituído de 1,5 milhão de e-mails únicos, com cada um deles correspondendo a uma conta na plataforma de entregas. Todos estão acompanhados de suas senhas, ainda que criptografadas pelo método bcrypt; e informações de geolocalização registradass durante acessos e pedidos. Informações financeiras ou pessoais, entretanto, não foram comprometidas. 

O pacote com o 1,5 milhão de credenciais da plataforma é parte de um volume ainda maior. No total, vazaram em junho mais de 140 milhões de entradas de usuários de 14 empresas, com o maior comprometimento de dados pertencendo à Tokopedia. O site de comércio eletrônico da Índia viu nada menos do que 91 milhões de informações de seus usuários sendo vendidas como parte do volume vazado, após uma intrusão registrada originalmente em abril deste ano.

De acordo com as informações do site Bleeping Computer, em junho, quando o banco de dados veio à público pela primeira vez, todas as empresas foram contatadas, mas nenhuma delas reconheceu o vazamento de dados publicamente. 

O que fazer agora?

Para checar se suas credenciais estão neste vazamento, basta colocar o e-mail utilizado na sua conta do James Delivery junto ao site Have I Been Pwned?. De acordo com a análise da página, dados pessoais ou bancários dos usuários não fazem parte do volume e estão, teoricamente, seguros. A recomendação, então, é trocar credenciais de acesso ao serviço de delivery e também de outras plataformas nas quais a mesma combinação de e-mail e senha esteja sendo usada. A ideia é que, de posse do volume vazado, hackers poderiam realizar ataques em massa, buscando intrusões às demais contas dos utilizadores.

A melhor prática de segurança é não repetir senhas em mais de um serviço, preferindo combinações aleatórias e não ligadas a datas de nascimento, nomes de familiares e outras informações pessoais. Além disso, é importante ativar sistemas de autenticação em duas etapas sempre que possível, e principalmente nas contas mais sensíveis, como redes sociais, sistemas bancários e serviços de e-mail, de forma que, mesmo com a senha correta, terceiros não consigam realizar o acesso.

Os usuários atingidos também devem ficar atentos a e-mails fraudulentos que tentem se passar pelo James ou outros serviços comprometidos, cujos links e informações devem ser desconsiderados. Vale a pena, ainda, checar o banco de dados do site Have I Been Pwned?, verificando o próprio e-mail em busca de comprometimentos registrados e ativando o sistema de alertas, para ser notificado em caso de novas brechas.

Atualização 06/11/2020 09h10: Em resposta ao Canaltech, o James Delivery não confirmou nem negou o vazamento dos dados, afirmando ter iniciado uma investigação interna para apurar os fatos e e estar em contato com as autoridades. Além disso, a empresa informa que dados financeiros e bancários dos clientes não são armazenados nas bases de dados, enquanto as senhas são criptografadas de maneira segura para evitar vazamentos.

Ainda, o serviço afirma realizar rotinas diárias de prevenção e que age imediatamente quando percebe eventuais fragilidades, de forma a melhorar os sistemas e mitigar possíveis danos. A segurança, informou o James Delivery, é um tema prioritário e a plataforma possui um time dedicado a esse segmento. Confira o pronunciamento na íntegra:

O James informa que segurança é um tema prioritário para a companhia e que possui uma rigorosa política interna de segurança da informação, com um time totalmente dedicado, responsável por realizar atualizações frequentes em seus sistemas. Diante de rotinas diárias de prevenção e a qualquer indício de eventual fragilidade, a empresa atua imediatamente, a fim de mitigar possíveis danos e promover melhorias nos controles já existentes. O James informa também que dados financeiros e bancários não são armazenados nas bases de dados da empresa e que e senhas são criptografadas de maneira segura. Com relação ao tema relatado, a empresa informa que iniciou uma investigação interna para apuração dos fatos, e que está em comunicação com as autoridades competentes para a condução dos devidos processos de investigação que se façam necessários.

Fonte: Have I Been Pwned?, Bleeping Computer