OnlyFans nega fuga de 340 milhões de contas, e o vendedor também

Um conjunto de dados anunciado como os registos pessoais de 340 milhões de utilizadores do OnlyFans está à venda num conhecido fórum de fugas de dados, por uma fração de um único Bitcoin. O anúncio promete endereços de e-mail, números de telefone, nomes reais, os últimos quatro dígitos de um cartão de pagamento e o detalhe que mais pesa numa plataforma como esta: as contas de redes sociais associadas a cada perfil.

Em quase qualquer outro serviço seria um problema de privacidade banal. No OnlyFans é algo mais cortante. Toda a relação entre a plataforma e quem a utiliza assenta num muro que separa a identidade legal de uma pessoa daquilo que faz por trás de um paywall. Um ficheiro que liga um nome verdadeiro e um número de telemóvel a uma conta do OnlyFans é uma ferramenta feita para deitar abaixo esse muro e, seja verdadeiro ou não, dirige-se a quem procura exatamente isso.

O vendedor descreve um registo por conta: identificador, nome de utilizador, nome completo, data de inscrição, e-mail, telefone, número de seguidores e de «gostos», quantidade de conteúdo publicado, uma marca a indicar se é fã ou criador e ligações a perfis noutras redes. Pede 0,313 Bitcoin, cerca de setenta e seis mil dólares pelo lote completo. Vendido assim, parece menos uma folha de cálculo e mais um pacote para escolher alvos. O campo dos perfis associados é o que transforma uma base de dados numa arma: para um criador, juntar a conta do OnlyFans a um Instagram verificado faz cair a separação que sustenta o seu trabalho.

Leitura recomendadaO novo modelo de voz da OpenAI pensa dentro do próprio ciclo de áudio, e o silêncio que denunciava a IA desaparece

O OnlyFans garante que nada disto aconteceu. «Estes relatos são falsos», respondeu um porta-voz ao meio de segurança que divulgou o anúncio. O próprio número alimenta a dúvida: 340 milhões está perto de toda a base de utilizadores registados, aquele total redondo que raramente sobrevive a uma intrusão real. E o argumento mais forte contra um ataque veio do próprio vendedor: contactado, admitiu que os dados nunca saíram do OnlyFans. Montou-os cruzando fugas antigas de outras plataformas, entre elas Twitter, Instagram e Spotify, com informação de perfil que já era pública. É uma compilação, não uma intrusão.

Esta distinção é toda a história, e o mercado clandestino vive de a esbater. Uma fuga real extrai dados a que o público nunca teve acesso; uma compilação reorganiza dados que já fugiram noutro lado e dá-lhes uma marca nova e assustadora. «OnlyFans» vende-se num fórum como nunca se venderia «uma lista feita com registos do Twitter de há cinco anos». Os alegados «ataques» de milhares de milhões de contas do WhatsApp ou do Gmail que ressurgem de tempos a tempos funcionam da mesma maneira e quase sempre acabam por ser listas de credenciais recicladas.

Nada disto torna o ficheiro inofensivo. A arma aqui é a correlação, não a novidade. Um nome já público de um lado e um e-mail fugido do outro valem pouco isolados; ligados a uma conta do OnlyFans, tornam-se um mapa que vai da identidade quotidiana de alguém até ao seu perfil de conteúdo para adultos. Esse mapa é a matéria-prima das mensagens de sextorsão que citam pormenores reais para parecerem credíveis, do phishing dirigido às contas de pagamento dos criadores e do assédio e da usurpação de identidade que muitos já enfrentam sem que um atacante tenha a triagem feita de antemão.

Para quem alguma vez associou uma conta do Instagram ou do X a um perfil do OnlyFans, fã ou criador e em qualquer mercado, o mais seguro é presumir que essa ligação já é localizável e talvez esteja agora embalada para venda. O conselho dos especialistas é pouco vistoso: tratar qualquer mensagem que pareça «conhecer» a sua atividade no OnlyFans como tática de pressão e não como prova, nunca pagar um pedido de chantagem e ativar a autenticação em dois passos para que uma palavra-passe fugida não baste para abrir a conta. O anúncio continua online e os investigadores analisam amostras para medir quanto há de real, reciclado ou simplesmente inventado, a única questão de que o preço realmente depende. Enquanto um nome famoso num fórum valer mais do que os dados que o sustentam, a próxima «mega fuga» já está a ser montada a partir dos destroços das dez anteriores.

Mais artigos semelhantes

Dragonkin: The Banished e a ascensão do desenvolvimento de RPG moldado pela comunidade

MARS 2120: O “Metroidvania Brasileiro” Chega à Fase Gold e Está Prestes a Anunciar a Data de Lançamento

FLOW Digital Infrastructure Inicia a Construção de um Grande Campus de Centros de Dados no Centro de Tóquio

Claude encontrou 10.000 falhas críticas num mês — patches ficaram para trás

Megalodon transformou o GitHub Actions numa porta traseira para 5561 repos

Meridiem Games anuncia The Pixel Pulps Collection – Edição Especial para Nintendo Switch e PlayStation 5