Tell HN: Scribd sofreu um vazamento
A Scribd revelou um incidente de segurança no qual uma parte não autorizada pode ter acessado endereços de e-mail de usuários e dados parciais de pagamento, incluindo os últimos quatro dígitos de cartões de crédito, emissor, país e datas de validade. Comentadores questionam o processo de notificação fragmentado e opaco da empresa, apontam seu histórico de problemas semelhantes e demonstram pouca simpatia por um serviço amplamente visto como colocando atrás de paywall PDFs que já eram gratuitos. O vazamento também é enquadrado como parte de uma onda mais ampla de ciberataques e da crescente “fadiga de vazamentos”, com debate sobre como IA, red teaming e melhores ferramentas de pagamento, como cartões virtuais, podem mudar o cenário de segurança.
Detalhes do vazamento e notificações
- Usuários relatam ter recebido e-mails sobre o vazamento em dias diferentes no fim de outubro.
- O artigo de suporte da Scribd (linkado no tópico) diz que os avisos estão sendo enviados em fases; comentaristas observam que isso explica o fato do atraso, mas não o motivo dele.
- O conteúdo do e-mail é descrito como em grande parte uma repetição do artigo de suporte, o que alguns criticam por ser vago e redirecionar os usuários para telefonemas.
- Um trecho citado diz que os dados expostos podem incluir: endereço de e-mail, últimos 4 dígitos do cartão de crédito, país, emissor e data de validade.
- Alguns se perguntam como identificar qual cartão foi afetado; o aviso direciona os usuários a um call center dedicado.
Críticas ao tratamento do incidente e histórico
- Vários comentaristas questionam por que as notificações não foram enviadas a todos os usuários afetados de uma vez, especialmente quando há informações de pagamento envolvidas.
- A página do incidente é criticada por fornecer pouca informação concreta e por ter sido atualizada uma vez no início de outubro.
- Um vazamento anterior da Scribd, em 2013, é mencionado; naquela época eles afirmaram que nenhum dado de pagamento foi acessado e prometeram segurança melhorada. Comentadores observam que a história parece estar se repetindo.
Reputação da Scribd como serviço
- Muitos expressam hostilidade em relação à Scribd, chamando-a de predatória ou de “valor negativo” por:
- Colocar atrás de paywall PDFs que são ou eram disponibilizados gratuitamente.
- Incentivar uploads sem compensar quem envia.
- Dificultar o download dos originais e empurrar assinaturas.
- Vários dizem que rotineiramente ignoram resultados da Scribd em buscas e que não sentem simpatia pela empresa, embora sintam pelos usuários afetados.
Segurança mais ampla e fadiga de vazamentos
- Alguns veem o vazamento como parte de uma onda de incidentes; outros dizem que as pessoas deixaram de se importar com vazamentos de dados anos atrás, passando à resignação.
- A discussão se amplia para o papel duplo da IA:
- Como ferramenta para atacantes e defensores.
- Como causa de bases de código mais confusas e menos compreendidas quando usada para gerar código.
- Há debate sobre se código protegido por IA é realmente mais seguro, com alguns argumentando que código escrito por humanos mais revisão por IA é atualmente mais seguro.
Subthreads técnicos de segurança e respostas
- Esclarecimento de que “criptografado em repouso” protege principalmente contra roubo físico de disco, não contra aplicações comprometidas.
- Criptografia homomórfica é mencionada como algo que teoricamente evitaria exposição em texto simples, mas é considerada impraticável hoje.
- Cartões de crédito virtuais/de uso único são discutidos como mitigação; a disponibilidade depende do banco.
- Alguns planejam reduzir sua “superfície de conta” encerrando contas antigas para limitar exposição futura.