Uma das maiores fugas de dados da história expôs online 1,3 mil milhões de palavras-passe únicas e quase 2 mil milhões de endereços de e-mail. A compilação massiva de dados, proveniente de múltiplas fontes, foi processada pelo serviço Have I Been Pwned (HIBP), que confirmou a escala sem precedentes do incidente. O conjunto de dados, que combina informações de incidentes anteriores com listas de "credential stuffing", contém 1.957.476.021 endereços de e-mail únicos e 1,3 mil milhões de palavras-passe. Destas, 625 milhões de palavras-passe nunca antes tinham sido vistas pelo HIBP.
Troy Hunt, CEO do HIBP, comentou a escala: "Este volume é quase três vezes maior do que a maior violação que alguma vez processámos."
Embora muitas das palavras-passe possam ser antigas ou não utilizadas, um número significativo ainda estava ativo, representando um risco real para as contas dos utilizadores.
Dado que mais de 5,5 mil milhões de pessoas utilizam a Internet, os especialistas em cibersegurança instam todos os utilizadores a alterarem as suas palavras-passe imediatamente.
O serviço HIBP oferece uma ferramenta chamada Pwned Passwords, que permite aos utilizadores verificar se uma palavra-passe foi exposta sem revelar o e-mail associado.
Os especialistas recomendam ações imediatas para proteger contas pessoais e corporativas, incluindo o uso de gestores de palavras-passe para criar credenciais únicas e fortes, a ativação da autenticação de dois fatores (2FA) e a implementação de modelos de acesso de confiança zero (zero-trust) em ambientes empresariais. O incidente sublinha que as palavras-passe, por si só, já não são uma medida de segurança suficiente.
Em resumoUma fuga de dados colossal, uma das maiores já registadas, expôs 1,3 mil milhões de palavras-passe únicas e quase 2 mil milhões de endereços de e-mail. Confirmado pelo serviço Have I Been Pwned, o incidente realça a necessidade crítica de os utilizadores abandonarem palavras-passe fracas ou reutilizadas. As principais conclusões são a necessidade imediata de alterar credenciais, adotar gestores de palavras-passe e ativar a autenticação de dois fatores para mitigar o risco generalizado de apropriação de contas.