O Flickr suporta vazamento de dados por falha em provedor externo de correio e expõe informações de milhões de usuários

O Flickr informou seus usuários de um possível incidente de segurança que afetou informações pessoais por culpa de vulnerabilidade em um fornecedor externo de serviços de e-mail. A rede social fotográfica, ativa desde 2004 e com milhares de milhões de imagens alojadas, confirmou que fechou o acesso ao sistema afetado poucas horas depois de ter sido notificada do problema, mas reconhece que alguns dados dos seus membros poderiam ter sido expostos.

De acordo com a comunicação enviada aos afetados, a fuga pôde incluir nomes reais, endereços de e-mail, nomes de usuário na plataforma, tipo de conta, endereços IP, dados de localização aproximada e registros de atividade no Flickr. Em paralelo, a empresa garantiu que não há indícios de que as senhas ou os números de cartões de pagamento sejam comprometidos neste incidente. Você pode ver a declaração compartilhada publicamente pela empresa em sua mensagem em X (antes Twitter) aqui.

A notícia foi recolhida por meios especializados em cibersegurança, que detalham que o Flickr não quis divulgar o nome do provedor de correio envolvido ou o número exato de contas afetadas. Esse hermetismo sobre terceiros é habitual nos primeiros comunicados, mas também é uma das partes mais problemáticas desses incidentes: quando uma plataforma delega funções críticas em fornecedores externos, perde parte do controle direto sobre a segurança e o fluxo de informação.

É importante colocar este caso em contexto: o Flickr é uma comunidade histórica de fotografia na internet com milhares de milhões de arquivos e uma base de usuários significativa. A dependência de serviços de terceiros para tarefas como o envio de e-mails transaccionais ou de notificações é uma prática estendida na indústria, mas também multiplica a superfície de ataque se esses fornecedores apresentarem vulnerabilidades. Agências europeias e especialistas em cibersegurança há anos alertando para os riscos da cadeia de fornecimento digital; na Europa você pode consultar análises e guias na página da Agência de Cibersegurança da União Europeia ( ENISA).

O Flickr pediu aos usuários afetados para revisar a configuração de suas contas em busca de mudanças não autorizadas e manter uma atitude vigilante contra tentativas de phishing que utilizem informações extraídas do serviço. A empresa reiterou que nunca solicitará palavras-passe por correio e anunciou que está a investigar o incidente, analisando a sua arquitetura e reforçando a supervisão sobre fornecedores externos.

Se você é usuário do Flickr, há medidas concretas e práticas que convém tomar agora mesmo. O primeiro é inspeccionar a sua conta por se existirem conteúdos removidos, álbuns modificados, alterações na configuração ou aberturas de sessão de locais desconhecidos. Se você repetia a mesma senha em outros serviços, a câmbiala sem esperar; o risco mais real após uma filtragem de e-mails e nomes é que os atacantes tentem aproveitar as mesmas credenciais em outras plataformas.

Também é recomendável ativar a autenticação de dois fatores (2FA) quando o serviço o oferece, e usar um gestor de senhas para gerar e armazenar chaves únicas e fortes para cada conta. Estas práticas reduzem consideravelmente a probabilidade de um acesso não autorizado derive em um sequestro de contas ou roubo de identidade. Para orientação prática sobre como reconhecer e-mails de phishing e proteger-se, fontes fiáveis como a Comissão Federal do Comércio dos Estados Unidos explicam passos a seguir no seu guia de fraudes por e-mail ( FTC: Como reconhecer e evitar o phishing), e em Espanha o Instituto Nacional de Cibersegurança (INCIBE) oferece recursos em castelhano para usuários afetados por fraudes online ( INCIBE).

Para além das recomendações individuais, este incidente lembra empresas e responsáveis por produtos que a segurança dos dados não termina nas suas próprias infra-estruturas: a escolha, a auditoria e a supervisão contínua de fornecedores externos é crucial. As organizações devem exigir contratos que incluam cláusulas de segurança, realizar avaliações de risco regulares e manter planos de resposta a incidentes que contemplem a identificação e a contenção de falhas provocadas por terceiros.

Do ponto de vista normativo, os vazamentos que envolvem dados pessoais podem ativar obrigações de notificação perante autoridades de proteção de dados e, em alguns casos, o direito dos usuários a receber informações detalhadas sobre o alcance do incidente. Se você mora na União Europeia e acredita que seus dados pessoais foram comprometidos, consulta as informações e os recursos do Conselho Europeu de Protecção de Dados ou a autoridade de controle do seu país para conhecer os passos a seguir.

Por último, convém manter a calma, mas não baixar a guarda. Muitos incidentes deste tipo resultam em tentativas de engenharia social direcionadas aos usuários expostos. Se você recebe um e-mail inesperado reclamando informações, oferecendo reembolsos ou pedindo para confirmar dados, evite clicar em links e verifique sempre o endereço do remetente. Em dúvida, conta com o suporte oficial do serviço do seu site (não desde links recebidos por email) e muda as credenciais nos serviços onde você repita senhas.

O Flickr afirmou que oferece desculpas pelo que aconteceu e que está a tomar medidas para evitar que algo semelhante volte a acontecer. Enquanto os inquéritos continuam, a melhor defesa continua a ser a combinação de boas práticas pessoais — contra-senhas únicas e 2FA — e uma pressão constante sobre as plataformas para reforçar a supervisão dos seus fornecedores. Os detalhes completos do incidente e da cobertura jornalística estão disponíveis em meios especializados, por exemplo em BleepingComputer ( artigo sobre a notificação do Flickr), onde foram recolhidas as declarações públicas e o acompanhamento inicial do caso.