Como ler um aviso de vazamento: o que a linguagem do escopo, os hashes de senhas e os prazos realmente dizem
Um aviso de vazamento é um gênero estranho: escrito por advogados, publicado sob pressão regulatória e feito para confirmar o mínimo possível. Quando a Marks & Spencer comunicou aos clientes em maio de 2025 que alguns dados pessoais de clientes haviam sido levados no ataque, que já mantinha a loja online fechada havia semanas, a frase carregou mais informação do que sua extensão sugere. Todo aviso responde a três perguntas: até onde a intrusão chegou, quão utilizáveis são os dados roubados e há quanto tempo a organização já sabe.
A linguagem do escopo: os verbos contam a história
A palavra mais informativa em qualquer aviso é o verbo. Uma parte não autorizada pode ter tido acesso significa que a investigação ainda não confirmou nada. Os dados foram copiados ou exfiltrados significa que a perícia observou movimento. Os reguladores se protegem da mesma forma: a lei californiana sobre vazamentos é acionada quando informações pessoais não criptografadas foram adquiridas — ou há motivo razoável para acreditar que foram — por uma pessoa não autorizada. Essa lacuna entre prova e crença é onde vive a maioria dos avisos.A Califórnia exige notificação quando informações pessoais não criptografadas "foram adquiridas, ou há razoável motivo para crer que foram adquiridas, por uma pessoa não autorizada" (Office of the Attorney General).O próprio termo vazamento se estica mais do que se imagina. Have I Been Pwned o define como um incidente em que dados são expostos involuntariamente em um sistema vulnerável, geralmente por controles de acesso insuficientes; sem necessidade de intrusão. A mesma FAQ separa vazamentos não verificados, em que os dados parecem genuínos mas sua legitimidade não pôde ser estabelecida, de vazamentos fabricados, agregados de outras fontes. O escopo também cresce. A Zacks anunciou em dezembro de 2022 um vazamento que os primeiros relatórios estimavam em 820 mil clientes; até junho de 2023 um conjunto de quase 9 milhões de contas havia aparecido em um fórum de hacking; em fevereiro de 2025 um criminoso cibernético publicou um conjunto de dados reportado em 12 milhões de registros. Nenhum aviso da empresa confirmou jamais os números maiores. Trate o primeiro número como piso, não como fato.
A frase sobre as senhas decide a rapidez da sua reação
Se houve senhas envolvidas, o formato de armazenamento é o dial de urgência. Hashes protegidos por bcrypt, scrypt ou Argon2 são deliberadamente lentos de adivinhar; com fatores de trabalho razoáveis, a maioria dos atacantes procura alvo mais fácil. MD5 sem sal, SHA-1 ou uma única passagem de SHA-256 caem diante de placas de vídeo comuns a bilhões de tentativas por segundo. Texto puro nem precisa ser quebrado. O conjunto da Zacks é o caso de manual: hashes SHA-256 sem sal, apesar de a empresa ter tranquilizado os clientes dizendo que os atacantes acessaram senhas criptografadas, mas apenas no formato criptografado. Criptografada é uma palavra corporativa favorita. Com sal é a que protege você. Quando um anúncio de vazamento afirma texto puro, trate-o como o caso catastrófico enquanto pergunta se o próprio anúncio se sustenta. O suposto vazamento de 47,9 milhões de registros do aplicativo coreano de entregas FLY, que cobrimos em agosto, afirmava senhas em texto puro e chaves de pagamento ativas, e permaneceu sem verificação na publicação. Sem verificação não significa inofensivo; significa não comprovado, e o Have I Been Pwned é direto: ausência de prova não é prova de ausência. Em qualquer caso: considere a senha comprometida e troque-a em todos os lugares onde foi reutilizada.O que os dados de pagamento implicam e o que não implicam
Havia informação de pagamento soa alarmante e muitas vezes não é. A expressão cobre tudo, de números completos de cartão com CVV, imediatamente perigosos, a dígitos mascarados ou truncados com os quais nada pode ser cobrado. Lojistas frequentemente nunca guardam o número completo; isso fica com os processadores de pagamento. Quando a M&S confirmou que dados de clientes haviam sido levados, disse que os dados não incluíam detalhes de pagamento ou de cartão utilizáveis, porque a empresa não os guarda nos sistemas afetados, nem senhas de conta. Lido ao contrário: dados de contato e histórico de pedidos foram levados, combustível para phishing convincente mais do que para fraude de cartão. Adapte a resposta à classe do dado, não à palavra pagamento.Por que o aviso chega semanas atrasado
A lacuna entre descoberta e divulgação é estrutural, não necessariamente ocultação. A perícia leva tempo, o escopo cresce à medida que os logs são lidos, e os reguladores acrescentam seus próprios prazos. A ICO britânica exige que as organizações a notifiquem o mais rápido possível e, quando viável, em até 72 horas desde que tomem conhecimento, com detalhes a seguir. A Califórnia exige arquivar no estado uma cópia de amostra de cada aviso a clientes enviado a mais de 500 residentes, o que torna esse banco de dados um arquivo público de avisos reais. O guia de resposta a incidentes do NIST, atualizado em abril de 2025, trata contenção, preservação de evidências e recuperação coordenada como um processo deliberadamente lento. A M&S já mantinha a loja online fechada havia mais de três semanas quando confirmou, em 13 de maio, que dados de clientes haviam sido levados. O silêncio era a distância entre a suspeita e algo que uma empresa possa colocar por escrito.O que fazer primeiro e o que ignorar
A primeira hora após um aviso relevante importa mais que o cupom de remediação. Em ordem:- Defina uma senha única na conta afetada e troque-a onde quer que a antiga tenha sido reutilizada.
- Force o encerramento das sessões: uma troca de senha geralmente faz isso, mas revogue logins conectados e tokens de API onde for oferecido.
- Ative a autenticação multifator enquanto ainda estiver autenticado.
- Siga a classe do dado: números completos de cartão significa ficar de olho no seu banco, não no lojista; dados de contato significa esperar phishing que cite seu histórico de pedidos.