Site de encontros Adult Friend Finder sofre fuga massiva de dados

A leak alegadamente abrangeu a totalidade da base de dados, que carrega duas décadas de logins, incluindo contas desativadas, com um total de até 400 milhões de utilizadores do site de encontros Adult Friend Finder comprometidos, de acordo com um relatório não verificado. A empresa proprietária do site começou já uma investigação, e declarou que já corrigiu uma vulnerabilidade, mas que de momento não pode confirmar que terá de facto ocorrido uma violação de segurança.

O Adult Friend Finder ( AFF) está baseado nos Estados Unidos mas a maioria das contas são de residentes em outros países. o AFF está disponível nas principais línguas e dispõe de ferramentas de localização dos utilizadores dentro de cada pais, para ajudar a limitar a área geográfica dos encontros, e Portugal é desde a mais de 10 anos um dos países geograficamente cadastrado.

“Ao longo das últimas semanas, a Friend Finder recebeu múltiplos relatórios relativos a potenciais vulnerabilidades de segurança da parte de fontes diversas,” relata Diana Ballou, vice-presidente da Friend Finder Networks. “Imediatamente após recebermos esta informação, tomámos várias medidas para avaliar a situação e reunir os parceiros externos adequados para suportar a nossa investigação.”

O site havia sido já atacado em Maio de 2015, quando os dados de 3.5 milhões de utilizadores foram expostos.

Adicionalmente, a empresa matriz da AFF detém vários sites de webcam explícitos, cujos logins foram possivelmente também divulgados. Contando com os outros sites explícitos da Friend Finder Networks, a mais recente violação de segurança é estimada incluir informação de um total 412 milhões de contas.

A Leaked Sources, que investigou a violação mais recente, afirma que esta é a maior leak que testemunhou até agora. A empresa oferece um serviço gratuito que informa visitantes caso o seu endereço de email tenha sido comprometido, mas cobra para determinar quais dos dados associados foram divulgados. 

A firma declarou também que “após muita deliberação interna” não iria por enquanto tornar os logins da Friend Finder Networks consultáveis.

Para verificar esta alegação, a Leaked Sources forneceu a Zack Whittaker, editor de segurança da ZDNet, 10 mil logins da AFF e 5 mil de outros sites da network. Whittaker contactou alguns dos detentores dos endereços de email, uma dúzia dos quais confirmou que os dados eram reais.

“Vários confirmaram os detalhes quando lhe lemos os seus dados, mas outros, compreensivelmente, não estavam dispostos a colaborar,” relata Whittaker. "Uma pessoa com que falei disse não estar preocupada porque utilizava apenas dados falsos. Outra disse não estar surpreendida pela falha. Muitos simplesmente desligaram o telefone sem responder”

Troy Hunt, especialista de segurança, recebeu também uma amostra de dimensões semelhantes, mas afirma que era ainda muito cedo para confirmar a escala da falha, uma vez que representava apenas “um trecho” do que foi alegadamente furtado.

“Estou intrigado — não duvido que seja exequível, mas 412 milhões  é um número mesmo muito alto.”

É, de facto, um número inferior apenas ao caso da Yahoo, no qual foram roubados os dados de cerca de 500 milhões de utilizadores, possivelmente a maior violação de informação em memória.

O principal site concorrente, o Ashley Madison, teve um leak em 2014 de muito menor dimensão, apenas 50 milhões de utilizadores, mas foi noticia em todo o mundo, por se tratar compreensivelmente de um tema sensível, já que este site é especialmente dirigido a pessoas casadas...

“Têm havido tantas leaks recentemente que estas pessoas provavelmente já tinham a sua informação divulgada algures,” afirma Hunt. No entanto, reconhece que a natureza explícita da imagens e mensagens da AFF podem vir a causar problemas, em particular a pessoas que tenham utilizados os seus emails profissionais.

Segundo a Leaked Sources, os serviços de emails mais utilizados para cadastro na AFF são o Hotmail, Yahoo e Gmail. No entanto, haviam também 5.650 endereços governamentais (.gov) e 78.301 atribuídos ao exército dos EUA (.mil).

Existem também casos, de acordo com Hunt, em que a conta foi criada sem a permissão do detentor do endereço de email.

“Penso que é uma pequena percentagem, mas pode acontecer. Eu chamo-lhe a defesa Ashley Madison.”