Timehop é invadido e vaza dados de 21 milhões de usuários

O Timehop é um aplicativo para iOS e Android que recupera suas fotos e posts antigos do Facebook, Instagram e Twitter. Ele relembra o que você publicou há um, dois ou três anos. O serviço sofreu uma invasão que impactou praticamente todos os seus usuários — um total de 21 milhões.

Os dados vazados consistem principalmente de nomes de usuário e endereços de e-mail. Além disso, foram roubados os números de celular associados a 4,7 milhões de contas.

O invasor também conseguiu levar os tokens de acesso para o Timehop visualizar suas fotos e tweets antigos. A empresa ​​diz que esses tokens foram desautorizados e invalidados, e não podem ser usados ​​para acessar os perfis dos usuários.

Como isso aconteceu? De acordo com uma investigação preliminar, o hacker entrou no ambiente de nuvem da Timehop pela primeira vez em dezembro de 2017, usando um login roubado de administrador. Ele voltou a acessar o sistema em março e em junho, antes de lançar o ataque em 4 de julho — feriado da Independência dos EUA. (A empresa tem sede em Nova York.)

Inicialmente, a conta oficial no Twitter mencionou apenas uma “manutenção não-programada”, até revelar o que realmente aconteceu horas depois.

We are currently doing some unscheduled maintenance on Timehop. You may have some issues accesing the app until further notice. Please follow this account for updates. Thank you for your patience!

— Timehop (@timehop) July 8, 2018

UPDATE — we're back online. Please read this important security announcement: https://t.co/s82imGuZpe

— Timehop (@timehop) July 8, 2018

Sim, o invasor conseguiu acessar o sistema usando apenas uma senha — essa conta de administrador não tinha autenticação por dois fatores. Depois do incidente, a Timehop redefiniu todas as senhas internas, e ativou a verificação em duas etapas para todas as contas vinculadas a serviços na nuvem.

Se você usa o Timehop, não terá que mudar a senha, mas precisará autorizar novamente o acesso ao Twitter, Facebook e Instagram. A empresa está trabalhando com autoridades policiais para investigar o caso.

Com informações: The Next Web, TechCrunch.

Leia | Instagram hackeado? Veja como tentar recuperar a sua conta invadida