Dados de milhões de usuários do Instagram são vendidos na internet por U$10 cada

À primeira vista, o erro de segurança Instagram foi explorado para obter números de telefone e endereços de e-mail de celebridades. Mas parece que não parou por ai. Agora, um banco de dados de 10.000 credenciais publicado on-line sugere que a violação é muito maior.

O banco de dados foi fornecido por alguém que enviou um e-mail em resposta à história de quinta-feira, mencionada acima, sobre a violação do Instagram de celebridades. O remetente disse que conseguiu pegar dados pessoais pertencentes a 6 milhões de usuários e estava vendendo os dados em um site por US $ 10 por consulta. A pessoa forneceu uma amostra de 10.000 desses registros.

Enquanto a Instagram ainda não confirmou a autenticidade da amostra, uma análise da Ars e do pesquisador de segurança Troy Hunt, mantenedor do serviço de notificação de violação Have I Been Pwned?, conclui que é legítimo. Para proteger os usuários finais potencialmente afetados, nosso blog não publica os sites que hospedam a venda dos supostos 6 milhões de registros ou a amostra, que estava disponível gratuitamente quando esta publicação estava em andamento.

"Até agora, tivemos 12 depósitos no valor de cerca de US $ 500", disse o operador do site cerca de seis horas após o serviço ter ocorrido. "Não é um começo horrível".

Dos 10 000 registros da amostra, 9,911 deles incluem um número de telefone ou e-mail; 5,341 incluem um número de telefone e 4,341 incluem um número de telefone e e-mail. Os dados claramente não são jogados juntos. Uma pesquisa de várias dúzias de nomes de usuários, por exemplo, mostrou que todos corresponderam aos usuários reais do Instagram e esses perfis de usuários eram consistentes com os números de telefone associados a eles. Os dados, por exemplo, incluíam nomes de usuários para três usuários cujos perfis estavam localizados na Austrália, Tailândia e Alemanha. Os números de telefone que acompanham esses usuários continham os códigos de país correspondentes.

Alguns usuários do banco de dados tinham milhões de seguidores.

Um representante da Instagram disse que os funcionários da empresa estão cientes da reivindicação e estão investigando. O Instagram tem 700 milhões de usuários ativos por mês.

A pessoa que forneceu a amostra disse que eu soube da vulnerabilidade em uma discussão do Internet Relay Chat. Ele também disse que ele certamente foi o único que explorou o problema. Cerca de 12 horas após a explosão em massa ter começado, disse ele, Instagram conectou o furo de segurança subjacente. Contrariamente às descobertas iniciais dos pesquisadores da Kaspersky Lab, o líder disse que era possível explorar o bug no Instagram de forma automatizada. Isso possibilitou roubar dados em cerca de 1 milhão de contas por hora, o que é muito mais rápido que o primeiro pensamento. A essa taxa, teria demorado quase duas semanas para baixar os registros de 700 milhões de usuários e mais para obter o banco de dados inteiro.

Supondo que o valor de 6 milhões seja verdadeiro, e a amostra de 10.000 registros é representativa, milhões de endereços de e-mail e números de telefone agora estão disponíveis para venda, e mais dados podem estar nas mãos de outros hackers. Até que a empresa diga alguma coisa sobre o assunto, os usuários do Instagram devem entreter os números e os endereços de e-mail associados às suas contas agora são públicos.

Compartilhe com seus amigos que utilizam o Instagram!