São Paulo — Uma série de listas com nomes de usuários e senhas de serviços na web foi colocada à venda em uma "loja online" na chamada dark web. O responsável foi um hacker identificado apenas como Gnosticplayers, segundo reportagem do site ZDNet. Entre os sites que tiveram informações supostamente vazadas, está o portal nacional Legendas.tv De acordo com a conta que está vendendo os dados, o arquivo relativo ao site traz 3,8 milhões de credenciais de usuários cadastrados. Ele está à venda por 0,35 bitcoin, cerca de 5.100 reais.

Ainda há listas com supostas informações de usuários do site de hospedagem de GIFs GfyCat, do editor de fotos online Pizap, do portal de empregos britânico Job and Talent e de outros quatro serviços. Ao todo, os bancos de dados contém 92,7 milhões de credencias, que custam 2,6249 bitcoins, ou cerca de 38 mil reais.

Os dados, no entanto, não são necessariamente novos — as credenciais do Legendas.tv, por exemplo, foram vazadas em outubro de 2017 — e nem se sabe se eles ainda funcionam. Porém, todas as listas dizem trazer milhões de nomes de usuários e senhas.

Em entrevista ao ZDNet, o responsável pela conta Gnosticplayers disse ter ele mesmo obtido as informações de cada site através de falhas de segurança. Não é muito difícil de acreditar: o portal brasileiro de legendas, por exemplo, não usa HTTPS para criptografar o tráfego nem mesmo da página de login. Ou seja, dá para interceptar as informações enviadas pelos usuários ao servidor (e vice-versa) sem grandes dificuldades.

Esta é a terceira vez que o hacker — ou o grupo de hackers — age na dark web. A mesma conta divulgou, há apenas alguns dias, um banco com informações de 617 milhões de contas de 16 serviços (como Dubsmash, MyFitnessPal e 500px) e depois uma segunda lista com 127 milhões de registros de usuários de outros 8 sites.

Qual o risco?

Um vazamento como esse é especialmente perigoso para quem não tem o costume de trocar as senhas regularmente e para quem usa a mesma combinação em diferentes serviços. Caso ponha as mãos em uma lista de credenciais do tipo, um hacker pode ter acesso à vida toda de uma vítima mais descuidada online sem grandes dificuldades.