16 bilhões de credenciais vazadas por malwares “infostealer” — o que você precisa saber e como se proteger

Pesquisadores da Cybernews revelaram a existência de 30 bases expostas que totalizam cerca de 16 bilhões de credenciais vazadas, incluindo logins, senhas, cookies e tokens utilizados em plataformas como Apple, Google, Facebook, Microsoft, GitHub, Telegram e serviços governamentais. Embora o volume seja superior à população global, isso inclui diversos registros duplicados.

Origem dos dados

Este não foi um ataque direto às empresas afetadas, mas sim o resultado da compilação de credenciais roubadas ao longo do tempo, capturadas por malwares chamados infostealers. Esses malwares extraem informações salvas em navegadores, cookies de sessão e tokens de autenticação e as armazenam em servidores de comando e controle — que, por falhas de configuração, ficaram expostos momentaneamente ao público.

Por que esse vazamento é perigoso

• Os dados são recentes e incluídos tokens que permitem salto de autenticação, mesmo com MFA ativado.
• O formato estruturado (URL, usuário, senha) facilita ataques automatizados, como sequestro de contas em larga escala e phishing direcionado .
• O alcance inclui serviços pessoais e corporativos, elevando o risco para setores sensíveis, como bancos, VPNs, Github e ferramentas corporativas .

O que há de novo, e o que já existia

Segundo Cybernews, apenas 1 das 30 bases já era conhecida (com 184 milhões de registros), enquanto o restante nunca tinha sido divulgado antes. No entanto, críticos como BleepingComputer apontam que grande parte dos dados pode ser reciclada ou fabricada apenas para inflar o volume.

Independentemente disso, o ponto crítico é que muitos dados ainda são atuais e funcionais, tornando o vazamento uma “espécie de blueprint para exploração em massa”.

Dicas imediatas para segurança

1. Troque últimas senhas — especialmente de email, bancos, contas corporativas e SaaS.
2. Não reutilize senhas — cada serviço precisa ter uma senha única.
3. Ative MFA (não via SMS) — use apps autenticadores ou chaves de segurança físicas.
4. Utilize gerenciador de senhas ou passkeys — facilitam a criação e armazenamento de senhas únicas
5. Cheque seus e-mails nos sites de vazamento, como Have I Been Pwned.
6. Mantenha sistemas e antivírus atualizados; evite downloads e extensões de fontes não oficiais — principal vetor dos infostealers
7. Monitore logs de login — busque atividades suspeitas como tentativas múltiplas ou logins geograficamente estranhos.

Como a Next4Sec pode ajudar sua empresa

1. Auditoria de segurança e avaliação de risco – identificamos possíveis falhas e exposição de credenciais.
2. Configuração ou reforço de MFA e gerenciadores de senhas – implementação de soluções robustas e sob medida.
3. Monitoramento contínuo – detecção rápida de credenciais expostas e resposta a incidentes.
4. Treinamento e conscientização de equipes – capacitação para evitar infecções por infostealers e práticas inseguras.

Conclusão

Enquanto o impacto real em termos de contas únicas comprometidas ainda é incerto, o volume, a qualidade e a atualidade dos dados expostos são alarmantes. Este vazamento reforça que a segurança digital não pode ser negligenciada: é necessário manter uma postura ativa e preventiva para reduzir riscos reais.

A Next4Sec está pronta para apoiar sua organização no desenvolvimento de uma segurança digital forte, contínua e à prova de crises como esta. Entre em contato!

Fontes: CyberNews, The Sun, Houston Chronicle e Bleeping Computer