Segurança no Octo: Exemplos Reais de Ameaças e Melhores Práticas de Proteção

Ameaças existentes: um caso real

Não faz muito tempo, vários usuários nos contataram com um caso que demonstra claramente vários problemas de configuração de segurança que podem levar à perda de controle sobre perfis.

Os atacantes fizeram login em várias contas de usuários Octo e ganharam acesso aos seus perfis. Durante nossa investigação, descobrimos que:

• as contas foram acessadas na primeira tentativa, o que significa que os atacantes sabiam as senhas;

• nenhum dos usuários afetados tinha 2FA habilitado;

• os dados dos usuários afetados estavam presentes em vazamentos de sites nichados, o que pode ter ajudado os atacantes a identificar quais contas visar.

A probabilidade de que os atacantes obtiveram senhas do banco de dados do Octo é zero, já que não armazenamos senhas em texto sem formatação. Esses dados estão criptografados, e mesmo a equipe Octo não tem acesso a eles. A possibilidade de força bruta nas credenciais de login também foi descartada, pois os sistemas de segurança do Octo detectam atividades suspeitas e redefinem senhas para usuários em risco. Uma violação via dados vazados anteriormente de um serviço de terceiros também foi considerada improvável, pois um dos usuários afetados havia alterado sua senha após o vazamento ser descoberto.

A ferramenta mais provável usada pelos atacantes para obter acesso às contas foi um programa stealer. Esses programas maliciosos são instalados no dispositivo do usuário e roubam credenciais de login para vários serviços.

Conclusão: a maneira mais eficaz de proteger seus dados é habilitar a autenticação de dois fatores. Ela reduz significativamente o risco de violações de segurança, incluindo ataques realizados com malware stealer. Isso se aplica não apenas ao Octo, mas a qualquer outro serviço também.

A equipe Octo não pode proteger os dispositivos dos usuários contra malware stealer. No entanto, no nível de arquitetura de serviço e opções de segurança disponíveis, estabelecemos medidas de proteção contra todos os possíveis vetores de ataque. Ainda assim, como o caso acima mostra, isso pode não ser suficiente. Vamos detalhar o que já foi feito do lado do Octo e onde seu envolvimento direto é necessário.

O que já fizemos para proteger seus perfis

• Garantimos armazenamento seguro de dados. Usamos criptografia AES-256, um dos padrões de criptografia mais seguros, utilizado por instituições governamentais, organizações financeiras, bancos e grandes empresas.

• Criptografamos dados de perfil usando múltiplos componentes: uma chave secreta, uma chave de banco de dados única e uma chave de usuário se o perfil foi protegido por senha. Se um atacante não tiver acesso a pelo menos um desses componentes, descriptografar o perfil é impossível.

• Implementamos proteção contra força bruta. Se houver ameaça, redefinimos a senha do usuário.

• Melhoramos continuamente a proteção de dados como parte de atualizações regulares, por exemplo, mudando para métodos de criptografia mais avançados e adicionando novos processos de monitoramento de eventos de segurança.

O que você deve fazer primeiro

• Habilitar autenticação de dois fatores. Este passo simples irá protegê-lo da maioria das ameaças comuns. Também certifique-se de armazenar seus códigos de backup 2FA em um lugar seguro caso perca o acesso ao dispositivo vinculado ao 2FA.

• Garantir acesso garantido ao endereço de e-mail usado para registrar sua conta Octo. Somente através deste e-mail você poderá alterar sua senha em caso de redefinição de senha forçada.

O que mais você pode fazer para aumentar a segurança da sua conta

• Use senhas únicas e complexas. Isso não o protegerá contra malware stealer por si só, mas é um bom começo.

• Verifique se seus dados foram expostos em vazamentos. Muito provavelmente, foram. A situação mais perigosa é quando o vazamento vem de um recurso nichado cujos usuários são mais propensos a usar navegadores antidetecção. Nesse caso, os atacantes têm tudo o que precisam para escolher você como alvo prioritário e tentar acessar seus perfis usando dados roubados.

• Defina senhas para seus perfis mais importantes. Se você tiver perfis que permitem retiradas de fundos, é melhor protegê-los com uma senha adicional. O Octo oferece essa possibilidade de forma conveniente. Ninguém, exceto você, saberá essa senha. Isso significa que os atacantes não conseguirão acessar o perfil, mesmo se literalmente roubarem seu dispositivo. Tal perfil também não pode ser transferido para outra conta Octo. No entanto, tenha cuidado: se você esquecer ou perder a senha do perfil, ela não poderá ser recuperada.

• Configure direitos de acesso dentro de sua equipe. O fator humano é a principal causa de vários problemas, não apenas os relacionados à segurança do Octo. Você pode configurar direitos de acesso a perfis para diferentes membros da equipe usando tags. Se precisar revogar o acesso de um membro da equipe a certos perfis, você pode fazê-lo facilmente nas configurações de sua conta na seção "Equipe". O mestre da equipe pode excluir completamente a conta de um membro da equipe.