Os serviços de notificação existentes tinham dois problemas, segundo Julian: a maioria dos usuários não sabia que eles existiam, e muitos desconfiavam de entregar suas credenciais a mais um serviço online.
A ideia
Inverter o modelo: em vez de pedir aos usuários que monitorassem serviços de vazamento, raspar os despejos você mesmo e enviar e-mail a cada proprietário exposto informando que suas credenciais eram públicas.
Ao longo de três dias, Julian coletou combinações vazadas de e-mail/senha de sites no estilo PasteBin; em 19 de maio de 2015, sua ferramenta Canary enviou 97.931 e-mails de alerta pré-escritos; no final de junho, ele havia coletado 300.000 credenciais de login e avaliava outro disparo em massa.
Nove respostas de agradecimento e nenhuma doação — 'como a campanha não me custou muito, também está absolutamente tudo bem'; Julian chamou o experimento de sucesso, na esperança de que muitos dos que foram ajudados nunca tenham respondido por terem perdido o e-mail nos filtros de spam.
Contexto
Todo grande hack despeja combinações de e-mail e senha no mercado negro, e Lily Hay Newman, da Slate, observou o óbvio: a maioria de nós nunca verifica se nossas credenciais estão entre elas. 'Julian', o blogueiro pseudônimo por trás do ATechDad, decidiu verificar por nós. Ao longo de três dias, ele coletou dados de usuários vazados publicados em hospedeiros de texto simples como o PasteBin, usando um scraper que construiu chamado Canary, que automaticamente extraía dados selecionados de páginas web e enviava e-mails pré-escritos alertando as pessoas de que suas credenciais estavam expostas.
O insight de design era a confiança. Serviços de scraping semelhantes já existiam, escreveu Julian, mas '1. A maioria dos usuários não tem ideia de que esses serviços existem. 2. Muitos usuários desconfiam de enviar as informações com que mais se importam para outro serviço online.' Sua resposta: as credenciais podiam falar por si — se estão no PasteBin, o proprietário deveria ser notificado, sem necessidade de cadastro.
Em 19 de maio de 2015, o Canary enviou e-mails a 97.931 pessoas cuja segurança cibernética estava em risco. O Motherboard apontou que muitos ignorariam um e-mail com aparência de phishing; Julian recebeu nove agradecimentos, nenhuma doação ('isso não foi inesperado'), e no final de junho havia coletado 300.000 credenciais de login, cogitando um segundo disparo. 'No geral, considero este experimento um sucesso', escreveu ele.
Remover a etapa de cadastro removeu a barreira da confiança: as vítimas souberam do vazamento sem nunca entregar dados a um estranho.
Todo o aparato era um scraper e e-mails pré-escritos — um serviço público de uma pessoa só a custo quase zero.
A própria taxa de resposta morna foi a descoberta: a notificação de violação por e-mail frio mal funciona, o que é o problema que os serviços ainda não resolveram.
A lacuna de notificação é um problema de design: encontre as pessoas onde o vazamento já surgiu, em vez de pedir que confiem em mais um serviço.
Até o final de junho de 2015, Julian tinha 300.000 credenciais coletadas, nove agradecimentos e uma decisão a tomar sobre um segundo disparo de e-mails — com o experimento documentado publicamente no ATechDad e coberto pela Slate e pelo Motherboard.
CONFIRA AS EVIDÊNCIAS