Uma base de dados com mais de 184 milhões de logins e senhas foi encontrada desprotegida em um servidor na web, expondo credenciais de acesso a serviços como Apple, Google, Facebook, Instagram, Microsoft, PayPal e até portais governamentais e bancários. A descoberta foi feita pelo pesquisador de segurança Jeremiah Fowler, que alertou o 9to5Mac para o potencial de uso dessa base como um “sonho para cibercriminosos”.

Segundo Fowler, o banco de dados estava disponível sem qualquer senha ou criptografia, acessível livremente na internet. Com um total de 47,42 GB de informações brutas, os dados incluíam e-mails, nomes de usuários, senhas em texto simples e links de login de diversas plataformas — inclusive de serviços financeiros, de saúde e de órgãos públicos de diferentes países.

Dados de Apple ID e outras plataformas populares

• Entre os milhões de registros estavam credenciais da Apple, além de logins para serviços amplamente utilizados como Amazon, Discord, Snapchat, Twitter, WordPress e Yahoo.
• A lista é extensa, e o tamanho da base impossibilitou a análise completa de todos os serviços afetados.
• No entanto, Fowler conseguiu verificar a autenticidade de parte das informações ao entrar em contato com alguns dos donos dos dados expostos, que confirmaram que suas senhas eram reais.
• O pesquisador notificou a empresa responsável pela hospedagem da base de dados, que limitou o acesso público, mas não revelou a identidade do responsável pelo conteúdo armazenado.

Coleta por malwares especializados

A origem dos dados parece estar ligada a infostealers, malwares especializados em roubar informações pessoais de dispositivos infectados. De acordo com Fowler, os sinais apontam para esse tipo de ferramenta, que costuma capturar senhas armazenadas em navegadores, aplicativos de e-mail e mensageiros, além de cookies, dados de preenchimento automático e até carteiras de criptomoedas. Algumas variantes ainda têm capacidade de registrar teclas digitadas e tirar capturas de tela dos sistemas comprometidos.

Esses malwares são frequentemente disseminados por e-mails de phishing e softwares piratas, técnicas comuns para enganar usuários e instalar as ameaças sem o conhecimento da vítima.

Leia mais:

Riscos ligados ao uso do e-mail como armazenamento

Um dos principais alertas de Fowler diz respeito ao uso comum dos e-mails como “armazenamento em nuvem gratuito”. Muitas pessoas mantêm em suas caixas de entrada documentos sensíveis por anos — como declarações de imposto de renda, registros médicos, contratos e senhas —, sem considerar os riscos de exposição. Caso criminosos consigam acessar essas contas, o impacto pode ser severo em termos de segurança e privacidade.

Para mitigar esses riscos, Fowler recomenda que os usuários revisem o conteúdo de suas contas de e-mail e excluam regularmente mensagens antigas que contenham informações pessoais ou financeiras. Segundo ele, é uma das formas mais simples de reduzir o potencial de danos em caso de vazamento.

Fowler afirmou ainda que, por princípios éticos, não fez o download do banco de dados completo. Em vez disso, acessou amostras e capturou imagens de tela com o objetivo de notificar as vítimas e confirmar a veracidade dos dados expostos.