É uma das maiores fugas de dados eletrónicos de sempre: cerca de 16 mil milhões de credenciais de acesso a serviços digitais (como redes sociais e serviços de streaming) foram expostas, o equivalente ao roubo de duas credenciais por pessoa com acesso à internet no mundo.

A investigação foi feita pela Cybernews, meio de comunicação independente formado por jornalistas e especialistas em segurança, que encontrou mais de 30 bases de dados com passwords, das quais 3,5 mil milhões “provavelmente” dirão respeito a utilizadores de língua portuguesa.

De acordo com a investigação, que começou no início deste ano, cada um dos cerca de 30 conjuntos de dados expostos continha em média 550 milhões de registos. Apesar de a origem destas passwords ainda não ser totalmente conhecida, alguns destes dados são utilizados para o acesso a redes sociais, plataformas empresariais, VPNs e outros sites.

Segundo a Cybernews, o conjunto de dados mais pequeno tinha cerca de 16 milhões de registos, enquanto o maior, “provavelmente relacionado com população de língua portuguesa”, tinha mais de 3,5 mil milhões de registos.

Alguns destes grupos estavam catalogados apenas com designações como “credenciais” ou “logins“, outros indicavam os serviços com os quais estavam relacionados. Mas outros eram mais concretos. Foi o caso de uma base de dados com mais de 455 milhões de registos que tinha um nome que esclarecida que tinha origem na Rússia. E de outra base de dados, com 60 milhões de registos, que tinha como nome “Telegram”.

Até ao momento não se sabe quem detinha esta informação. No entanto, de acordo com a Cybernews, alguns dos conjuntos de dados que foram divulgados pertenciam a cibercriminosos. “O aumento do número de dados expostos através de infostealers […] pode ser um sinal de que os cibercriminosos estão a deixar de utilizar algumas opções que antigamente eram populares [para roubar estes dados], como os grupos de Telegram”, apontou o investigador da Cybernews, Aras Nazarovas.

Os infostealers são malwares (softwares criados para prejudicar um sistema informático e utilizadores) que invadem e-mails, carteiras de criptomoedas e outras contas para roubar informações dos utilizadores. Significa isto que não invadem os sistemas dos serviços mas que roubam as credenciais aos próprios utilizadores dos serviços. Para além dos dados pessoais, como nomes e números de telefone, estes softwares roubam também dados de pagamento, fotos e documentos pessoais, históricos de navegação e passwords.

Este foi “um projeto de exploração em massa”, dizem os responsáveis por esta investigação. “Os cibercriminosos têm agora um acesso sem precedentes a credenciais pessoais que podem ser utilizadas para a aquisição de contas, roubo de identidade e phishing altamente direcionado. O que é especialmente preocupante é a estrutura e a atualidade destes conjuntos de dados – não se trata apenas de violações antigas que estão a ser recicladas. Trata-se de informação ‘fresca’ e que pode ser usada como arma”.

O Centro Nacional de Cibersegurança (CNCS) admitiu ao jornal ECO que tem “conhecimento do alegado leak de 16 mil milhões de credenciais de contas”, e esclareceu que se trata de uma “compilação de múltiplos leaks, publicados ao longo dos últimos anos”. Significa isto que “poucas destas credenciais possam ser consideradas recentes”, tranquiliza este centro.

No entanto, reconhece que “a dimensão do leak e o número elevado de credenciais concentradas num único pacote são uma oportunidade para atividades de cibercriminalidade”.

De acordo com a Cybernews os dados foram expostos por pouco tempo: o suficiente para ser descoberto, mas não o suficiente para descobrir quem detinha esta informação. Por isso mesmo, é recomendado a todas as pessoas com contas online que alterem as suas palavras-chave e ativem a autenticação de dois fatores.

Notícia atualizada às 12h de dia 21 de junho.