O que acontece quando dados íntimos vazam

A maioria dos vazamentos de dados é um inconveniente. Você altera uma senha, acompanha o cartão por alguns meses e, em um ano, o assunto deixa de importar.

Vazamentos de dados íntimos funcionam de forma diferente, e a diferença não diz respeito ao volume ou à gravidade no sentido habitual. Diz respeito ao que não pode ser desfeito.

Por que é uma categoria diferente

Uma senha pode ser alterada. Um cartão pode ser reemitido. O que alguém escreveu para o seu parceiro não pode ser revogado, e tampouco o fato de que determinada pessoa tinha uma conta em algum lugar.

A existência costuma ser todo o impacto. Em diversos vazamentos bem documentados de serviços que as pessoas usavam de forma privada, apenas os endereços de e-mail foram suficientes para causar danos graves, antes mesmo de alguém ler uma única mensagem. O caso da Ashley Madison em 2015 é o exemplo clássico, e as consequências para os indivíduos foram graves e, em alguns casos, irreversíveis.

A segunda propriedade é a permanência. Conjuntos de dados vazados não são apagados. Eles circulam, são indexados, são combinados com outros conjuntos de dados e reaparecem anos mais tarde.

Você pode alterar todas as credenciais que possui. Não pode alterar o fato de que um registro existe.

O problema da combinação de dados

Um vazamento isolado costuma parecer inofensivo. Um endereço de e-mail e um carimbo de data e hora.

O risco vem da combinação. Um endereço de um vazamento mais um número de telefone de outro mais o histórico de localização de um terceiro geram um perfil que nenhum dos três continha.

É por isso que "eram apenas endereços de e-mail" é uma garantia mais fraca do que parece, e por que a minimização de dados importa mais do que a resposta a incidentes.

O que realmente reduz o risco

Apenas uma coisa de forma significativa: os dados simplesmente não existirem em formato legível desde o início.

Tudo o mais é mitigação. Boas práticas de segurança reduzem a probabilidade de um vazamento, mas não mudam o que ele expõe. Limites de retenção reduzem a quantidade exposta. A criptografia em que o operador possui a chave protege contra alguns tipos de ataque, mas não contra um invasor que alcance o sistema em execução.

A criptografia de ponta a ponta é a única arquitetura em que um comprometimento total dos servidores não expõe o conteúdo, porque o conteúdo não está lá em formato legível para ser exposto.

Ela não protege os metadados. Um invasor ainda saberia que duas contas existiam, estavam pareadas e estiveram ativas em dias específicos. Essa é uma exposição real, mas muito menor.

Perguntas que valem a pena fazer a qualquer serviço íntimo

O que um invasor que comprometesse totalmente os seus servidores conseguiria ler?

Por quanto tempo vocês mantêm os dados após uma conta ser excluída?

Quais terceiros recebem qualquer parte desses dados?

Existe um contato de segurança público e um histórico de resposta a relatos?

A primeira pergunta é a que separa as arquiteturas. Tudo o mais é prática, e a prática muda conforme a gestão.

Como o Duoheart se posiciona

O conteúdo, ou seja, perguntas, respostas, mensagens e chamadas, é criptografado nos dispositivos com uma chave gerada neles e nunca enviada para nós. Um comprometimento total da nossa infraestrutura não o exporia, porque não o mantemos em formato legível.

Exporia a existência das contas, o pareamento entre elas e informações de assinatura e atividade. Não vamos fingir que isso é nada.

Também coletamos menos do que poderíamos, o que é a medida de privacidade menos chamativa e uma das mais eficazes. Dados que nunca foram coletados não podem vazar.

O que fazer como usuário

Use um endereço de e-mail que não seja o seu principal para serviços deste tipo. Exclua contas que você não usa, de forma correta e não apenas desinstalando o aplicativo. E assuma, para qualquer coisa que colocar em qualquer serviço, que uma cópia poderá existir em algum lugar daqui a dez anos, porque para a maioria dos serviços isso é simplesmente verdade.