16 bilhões de credenciais vazadas por malwares “infostealer” — o que você precisa saber e como se proteger
16 bilhões de credenciais vazadas por malwares “infostealer” — o que você precisa saber e como se proteger
Pesquisadores da Cybernews revelaram a existência de 30 bases expostas que totalizam cerca de 16 bilhões de credenciais vazadas, incluindo logins, senhas, cookies e tokens utilizados em plataformas como Apple, Google, Facebook, Microsoft, GitHub, Telegram e serviços governamentais. Embora o volume seja superior à população global, isso inclui diversos registros duplicados.
Origem dos dados
Este não foi um ataque direto às empresas afetadas, mas sim o resultado da compilação de credenciais roubadas ao longo do tempo, capturadas por malwares chamados infostealers. Esses malwares extraem informações salvas em navegadores, cookies de sessão e tokens de autenticação e as armazenam em servidores de comando e controle — que, por falhas de configuração, ficaram expostos momentaneamente ao público.
Por que esse vazamento é perigoso
- Os dados são recentes e incluídos tokens que permitem salto de autenticação, mesmo com MFA ativado.
- O formato estruturado (URL, usuário, senha) facilita ataques automatizados, como sequestro de contas em larga escala e phishing direcionado .
- O alcance inclui serviços pessoais e corporativos, elevando o risco para setores sensíveis, como bancos, VPNs, Github e ferramentas corporativas .
O que há de novo, e o que já existia
Segundo Cybernews, apenas 1 das 30 bases já era conhecida (com 184 milhões de registros), enquanto o restante nunca tinha sido divulgado antes. No entanto, críticos como BleepingComputer apontam que grande parte dos dados pode ser reciclada ou fabricada apenas para inflar o volume.
Independentemente disso, o ponto crítico é que muitos dados ainda são atuais e funcionais, tornando o vazamento uma “espécie de blueprint para exploração em massa”.
Dicas imediatas para segurança
- Troque últimas senhas — especialmente de email, bancos, contas corporativas e SaaS.
- Não reutilize senhas — cada serviço precisa ter uma senha única.
- Ative MFA (não via SMS) — use apps autenticadores ou chaves de segurança físicas.
- Utilize gerenciador de senhas ou passkeys — facilitam a criação e armazenamento de senhas únicas
- Cheque seus e-mails nos sites de vazamento, como Have I Been Pwned.
- Mantenha sistemas e antivírus atualizados; evite downloads e extensões de fontes não oficiais — principal vetor dos infostealers
- Monitore logs de login — busque atividades suspeitas como tentativas múltiplas ou logins geograficamente estranhos.
Como a Next4Sec pode ajudar sua empresa
- Auditoria de segurança e avaliação de risco – identificamos possíveis falhas e exposição de credenciais.
- Configuração ou reforço de MFA e gerenciadores de senhas – implementação de soluções robustas e sob medida.
- Monitoramento contínuo – detecção rápida de credenciais expostas e resposta a incidentes.
- Treinamento e conscientização de equipes – capacitação para evitar infecções por infostealers e práticas inseguras.
Conclusão
Enquanto o impacto real em termos de contas únicas comprometidas ainda é incerto, o volume, a qualidade e a atualidade dos dados expostos são alarmantes. Este vazamento reforça que a segurança digital não pode ser negligenciada: é necessário manter uma postura ativa e preventiva para reduzir riscos reais.
A Next4Sec está pronta para apoiar sua organização no desenvolvimento de uma segurança digital forte, contínua e à prova de crises como esta. Entre em contato!
Fontes: CyberNews, The Sun, Houston Chronicle e Bleeping Computer