Resumo rápido
- Uma violação de dados acontece quando uma empresa que tem informações suas perde o controlo delas — por causa de um invasor, uma configuração errada ou alguém de dentro. Algumas são pequenas; outras afectam centenas de milhões de pessoas.
- O primeiro passo é descobrir o que foi realmente exposto. Nem todas as violações são iguais: um endereço de e-mail vazado é chato; uma palavra-passe vazada é urgente; um documento de identidade vazado é um problema longo.
- Quanto maior a violação, mais ela aparece depois como phishing personalizado com detalhes da sua vida passada — porque os invasores compram e combinam bases de dados roubadas.
- Pode verificar gratuitamente se o seu e-mail ou número de telefone aparece em violações conhecidas, usando serviços de confiança. Faça isso uma vez agora, depois uma vez por ano.
- Se uma informação crítica de identidade foi vazada (número de passaporte, número do documento de identidade nacional, dados bancários completos), isso já não é apenas uma resposta a uma "violação de dados" — passa a ser prevenção de roubo de identidade. Aja mais depressa e documente tudo.
O que é
Uma violação de dados acontece quando informações sobre pessoas — normalmente clientes, funcionários, membros ou pacientes — saem do controlo da organização que devia guardá-las. As causas são mais banais do que dramáticas:
- Um invasor explora uma vulnerabilidade no site da empresa ou num dos seus fornecedores.
- Um funcionário clica num e-mail de phishing e o invasor usa as suas credenciais para descarregar uma base de dados de clientes.
- Um armazenamento na nuvem ficou exposto à internet por engano.
- Uma fita de backup foi perdida, um portátil foi roubado, uma pen USB foi esquecida num comboio.
- Um funcionário descontente levou a base de dados ao sair.
- Um fornecedor externo (o processador de pagamentos, a plataforma de marketing, o serviço de análise) foi invadido, levando os dados da empresa com ele.
O que fica exposto varia enormemente. Categorias comuns:
- Apenas um endereço de e-mail — embaraçoso mas de baixo risco por si só.
- E-mail mais palavra-passe (muitas vezes "com hash" mas às vezes em texto simples) — risco alto, especialmente se reutilizou essa palavra-passe noutros sítios.
- E-mail, palavra-passe, nome, data de nascimento, morada, número de telefone — risco significativo; este é o conjunto de dados que alimenta phishing muito convincentes durante anos.
- Dados financeiros — números de cartão, números de conta bancária — normalmente levam à substituição do cartão.
- Documentos de identidade — passaporte, bilhete de identidade nacional, carta de condução — risco de roubo de identidade a longo prazo.
- Categorias sensíveis — saúde, orientação sexual, religião, opiniões políticas, dados biométricos — ao abrigo do RGPD têm protecções adicionais e obrigações de notificação.
Como fica a saber
Algumas formas comuns:
- A empresa envia-lhe um e-mail. "Escrevemos para o informar de um incidente que pode ter afectado as suas informações." Leia-o com atenção; não clique nos links; verifique o que foi exposto através do comunicado de imprensa oficial da empresa.
- Uma notícia nomeia uma empresa que usou. Pesquise o nome da empresa mais "violação de dados" e leia pelo menos duas fontes independentes.
- Um regulador publica um aviso. Na UE, as grandes violações são reportadas às autoridades de protecção de dados e muitas vezes divulgadas.
- Um serviço gratuito de monitorização alerta-o. Have I Been Pwned (haveibeenpwned.com) é o mais respeitado — permite verificar qualquer endereço de e-mail em violações públicas conhecidas, e pode subscrever para receber notificações gratuitamente.
- Um gestor de palavras-passe detecta credenciais reutilizadas ou comprometidas.
- Chega uma vaga de phishing personalizado — e-mails que conhecem a sua antiga morada, o nome do seu cão, a empresa onde trabalhava em 2017. São dados roubados a ser usados.
O que fazer
Passo 1 — confirme o que foi exposto.
Leia atentamente a comunicação oficial da empresa. Na maioria dos países são obrigados a dizer-lhe as categorias de informações afectadas. Foi apenas o seu e-mail, ou também uma palavra-passe, ou também um cartão de pagamento, ou também o seu documento de identidade? A resposta é diferente para cada caso.
Se a comunicação for vaga — "algumas informações da conta" — procure reportagens independentes (jornalistas de segurança, aviso da autoridade nacional de protecção de dados). Não confie apenas na versão da empresa.
Passo 2 — aja em função do que foi realmente exposto.
- Apenas e-mail. Principalmente um incómodo. Espere mais spam e possivelmente mais phishing. Mais nada a fazer.
- Palavra-passe. Altere-a imediatamente no site afectado. Se a reutilizou noutros sítios, altere-a em todo o lado. Este é o momento de adoptar um gestor de palavras-passe se não tiver um.
- E-mail mais palavra-passe. Igual ao anterior, mais active a autenticação a dois factores na conta afectada e no e-mail, se ainda não estiver activada.
- Morada, data de nascimento, número de telefone. Espere phishing personalizado durante meses. Seja mais cauteloso do que o habitual quando responder a mensagens que "conhecem" detalhes sobre si.
- Dados do cartão. Ligue para o emissor do cartão; peça um novo cartão e número. Monitorize os extractos de perto no mês seguinte.
- Dados bancários. Notifique o banco, assinale a conta. Fique atento a pequenas transacções "teste" antes das grandes.
- Documentos de identidade. Este é agora um cenário de prevenção de roubo de identidade, não apenas uma resposta a uma violação. Ver Recuperação de Roubo de Identidade; bloqueie o crédito; considere substituir o documento se o seu país o permitir.
- Dados pessoais sensíveis (saúde, orientação sexual, religião, etc.). Ao abrigo do RGPD pode ter direitos específicos a reparação e indemnização. Fale com a sua autoridade nacional de protecção de dados; pode também ter uma acção contra a empresa.
Passo 3 — exerça os seus direitos.
Na UE, no Reino Unido, na Suíça e em muitos outros países tem o direito de:
- Saber que dados a empresa tem sobre si (pedido de acesso do titular dos dados).
- Apagar dados que a empresa já não precisa (direito ao apagamento / direito a ser esquecido).
- Opor-se a determinados tratamentos.
- Apresentar queixa à sua autoridade nacional de protecção de dados.
- Reclamar indemnização se sofreu dano.
A queixa é gratuita, muitas vezes online, e a autoridade investigará mesmo que não entenda todos os detalhes técnicos.
O que NÃO fazer
- Não ignorar o e-mail de notificação porque parece marketing. Raramente é uma burla — mas se tiver dúvidas, vá directamente ao site da empresa em vez de clicar no link do e-mail.
- Não responder a mensagens de seguimento que oferecem "recuperação de dados" ou "protecção de crédito" que não pediu. Muitas vezes são burlas oportunistas que visam as vítimas da violação com propostas personalizadas.
- Não aceitar a oferta de monitorização de crédito gratuita da empresa sem ler os termos — algumas exigem que renuncie ao direito de intentar acção judicial.
- Não alterar a palavra-passe numa rede Wi-Fi pública se tiver outra opção. Espere estar em casa.
- Não assumir que "só obtiveram a palavra-passe com hash" significa que a palavra-passe está segura. A qualidade do hash varia; alguns hashes são decifráveis em horas para palavras-passe fracas. Altere-a.
- Não se culpar. A violação não foi culpa sua. Confiou os seus dados à empresa de boa fé; ela falhou na protecção dos mesmos.
Usar a IA para ajudar
Analisar a notificação:
"Recebi uma notificação de violação de dados de [empresa]. Em baixo está a mensagem que enviaram e os detalhes sobre a violação que encontrei nas notícias. Por favor ajude-me a (a) perceber quais as categorias dos meus dados que provavelmente foram expostas, (b) listar as acções mais prioritárias a tomar nas próximas 24 horas, (c) identificar as categorias de ataques de seguimento a que devo estar atento nos próximos três meses, e (d) dizer-me se a lei de protecção de dados do meu país me dá direitos ou recursos específicos a considerar.
[cole notificação + resumo de notícias]"
Redigir um pedido de acesso aos dados:
"Quero pedir a [empresa] uma cópia de todos os dados que têm sobre mim, exercendo o meu direito ao abrigo do [RGPD / UK DPA / FADP suíço / etc., conforme o país]. Por favor redija uma carta formal em [língua], incluindo a base legal, o âmbito do pedido e um prazo razoável para a resposta. Mantenha um tom profissional e firme."
A quem ligar
- À própria empresa, através do canal oficial — mas leia primeiro fontes independentes para saber o que perguntar.
- Ao seu banco ou emissor do cartão se foram expostos dados financeiros.
- À sua autoridade nacional de protecção de dados para apresentar queixa e verificar se publicaram orientações para a violação específica.
Autoridades nacionais, por língua:
- Inglês: Reino Unido — ICO (ico.org.uk). Irlanda — DPC (dataprotection.ie). EUA — FTC e procuradores-gerais estaduais; muitos estados têm regras de notificação específicas. Canadá — OPC (priv.gc.ca). Austrália — OAIC (oaic.gov.au).
- Alemão: Alemanha — BfDI federal mais uma DPA por Land. Áustria — DSB (dsb.gv.at). Suíça — FDPIC / EDÖB (edoeb.admin.ch).
- Francês: França — CNIL (cnil.fr). Bélgica — APD-GBA (autoriteprotectiondonnees.be). Suíça (FR) — PFPDT.
- Italiano: Itália — Garante per la protezione dei dati personali (garanteprivacy.it).
- Espanhol: Espanha — AEPD (aepd.es). México — INAI (home.inai.org.mx).
- Português: Portugal — CNPD (cnpd.pt). Brasil — ANPD (gov.br/anpd).
Na UE, as queixas podem ser apresentadas à autoridade de protecção de dados de qualquer estado-membro onde viva, trabalhe ou onde ocorreu a infracção.
Quando ir além de uma conversa
- Uma violação envolve documentos de identidade ou dados sensíveis de categoria especial e vive na UE/Reino Unido/Suíça — apresente uma queixa formal à sua autoridade de protecção de dados. A investigação é gratuita; se ocorreu dano material, pode ter direito a indemnização.
- A violação foi no seu banco, seguradora ou um prestador de cuidados de saúde crítico — fale com um advogado se não conseguir respostas claras sobre o âmbito e o calendário. Existem mecanismos de acção colectiva para algumas violações ao abrigo de várias leis nacionais.
- Recebe extorsão — "temos os seus dados, pague-nos para os apagar" — não pague; reporte à polícia; os dados já estão em circulação.
- Os dados de uma criança foram expostos — os dados de menores recebem protecção reforçada na maioria dos países; notifique directamente o regulador. Fique atento a contas abertas em nome da criança muito depois da violação.
- O seu empregador teve uma violação e as suas credenciais de trabalho podem estar expostas — informe a TI imediatamente; as mesmas credenciais podem dar acesso a sistemas internos.
Fontes e leitura adicional
- Have I Been Pwned — base de dados pública de violações
- RGPD da UE — Artigos 33, 34 (notificação de violação), 82 (indemnização)
- FADP suíço / nFADP — regras actuais sobre obrigações do subcontratante
- ENISA — relatórios anuais sobre tendências de violações de dados
- Relatórios State of the Phish — vectores de phishing de seguimento após grandes violações