8fit Утечка данных

Подтверждено раскрытие следующих категорий данных: адреса электронной почты, имена, пол, географическое местоположение, IP-адреса, хеши паролей bcrypt, токены аутентификации с истёкшим сроком действия и фотографии профилей. В основном каталоге учтено 15 025 407 уникальных адресов электронной почты, тогда как в уведомлении компании говорилось, что утечка могла затронуть сведения примерно о 20 миллионах пользователей. Эти показатели отражают разный охват, поэтому их нельзя объединять в одно общее число. Пароли хранились в виде хешей bcrypt, а не открытого текста. Слабые или повторно используемые пароли всё же могут быть уязвимы к офлайн-подбору и подвергать риску аккаунты в других сервисах. Компания сообщила, что срок действия некоторых токенов аутентификации Facebook истёк, поэтому само по себе их наличие не означает, что можно было получить доступ к действующему сеансу. Она также заявила, что платёжные данные, номера социального страхования и переписка пользователей с тренерами не были получены.

Утечка произошла в июле 2018 года. По имеющимся сообщениям, аккаунты, созданные после этого месяца, не пострадали. 8fit узнала о возможном инциденте 8 февраля 2019 года; в том же месяце данные появились в продаже на торговой площадке в даркнете, а 21 марта 2019 года были добавлены в каталог подтверждённых утечек. Компания сообщила, что начала расследование, сотрудничала с компаниями в области информационной безопасности и правоохранительными органами, связалась с пользователями и усилила защиту своих систем. Имеющиеся свидетельства подтверждают прямую утечку пользовательских данных 8fit, однако конкретная техническая уязвимость, позволившая получить доступ, публично не подтверждена. Поэтому событие классифицируется как утечка из базы данных, а не как утечка у стороннего поставщика. При этом не утверждается, что доступ был получен с помощью SQL-инъекции, аккаунта сотрудника, настроек облачной среды или иного способа проникновения.

Наибольшему риску подвергаются люди, которые использовали свой пароль от 8fit образца 2018 года также для электронной почты, социальных сетей, интернет-магазинов или рабочих аккаунтов. Bcrypt обеспечивает надёжный уровень защиты, но короткие, предсказуемые или распространённые пароли всё же можно подобрать, если располагать достаточным временем и вычислительными ресурсами. Имя, пол, местоположение, IP-адрес и фотография профиля могут помочь злоумышленнику составить убедительные сообщения об абонементе на фитнес, подписке, поддержке со стороны тренера или сбросе пароля. Совпадение не доказывает, что аккаунт сейчас захвачен, платёжные данные похищены или медицинские сведения раскрыты. Токены с истёкшим сроком действия не дают прямого доступа к текущему сеансу Facebook, хотя проверять связанные аккаунты и разрешения приложений по-прежнему полезно. Даже неактивный аккаунт 8fit может иметь значение, если тот же адрес электронной почты и тот же принцип составления пароля используются в других сервисах. Для обоснованной оценки нужно в совокупности учитывать повторное использование паролей, дату последней смены пароля, активные сеансы и персонализированные подозрительные сообщения.

Если вы повторно использовали пароль от своего аккаунта 8fit образца 2018 года или его близкий вариант, создайте длинный уникальный пароль для каждого затронутого сервиса. В первую очередь защитите основной почтовый аккаунт, менеджер паролей, аккаунты финансовых сервисов и другие учётные записи, с помощью которых можно восстановить доступ к аккаунтам. Проверьте активные сеансы и известные устройства, убедитесь в правильности данных для восстановления доступа и включите ключ доступа или многофакторную аутентификацию, если такая возможность есть. Не считайте вариант того же пароля с добавленной цифрой или символом самостоятельным паролем. Не переходите по ссылкам в сообщениях, где в качестве повода упоминаются 8fit, фитнес-планы, продление абонемента, проблемы с оплатой или связь с тренером; открывайте знакомый сайт или приложение напрямую. Проверьте разрешения приложений в связанных аккаунтах Facebook и других социальных сетей и отзовите доступ, которым больше не пользуетесь. Если вы заметили неожиданный сброс пароля, уведомление о новом устройстве или об изменении правила пересылки почты, начните официальную процедуру восстановления доступа в соответствующем сервисе.

Менеджер паролей, который создаёт отдельный случайный пароль для каждого сервиса, ограничивает риск последовательного захвата нескольких аккаунтов, даже если пароль по старому хешу bcrypt со временем удастся подобрать. Переходите на ключи доступа там, где они поддерживаются, и используйте устойчивую к фишингу аутентификацию для основного почтового аккаунта. Храните коды восстановления офлайн и регулярно проверяйте подключённые приложения и разрешения на вход через социальные сети. Помните, что фотография профиля, местоположение и интерес к фитнесу могут сделать адресованные вам сообщения убедительнее, и проверяйте запросы, касающиеся конфиденциальных данных или важных действий, через независимый канал связи. Организациям, обнаружившим адреса сотрудников в утечке, следует сочетать сброс паролей с прекращением активных сеансов, предотвращением повторного использования паролей и отслеживанием подозрительных входов. Поставщикам сервисов следует сочетать современные параметры хеширования паролей, уникальные соли, сегментацию доступа, минимизацию данных и обнаружение инцидентов. Неиспользуемые аккаунты и ненужные поля профилей следует удалять регулярно.

Проверьте свой адрес электронной почты через защищённое поле поиска, чтобы узнать, есть ли он в записи об утечке 8fit. Если найдено совпадение, в первую очередь смените пароли. Результат не означает, что хеш bcrypt точно был взломан, аккаунт был захвачен или платёжные и медицинские данные были раскрыты; он лишь сообщает, что адрес присутствует в проверенном наборе данных. Вспомните, как вы составляли пароли в то время, замените тот же или похожий пароль везде, где он ещё используется, и проверьте недавние сеансы в основном почтовом аккаунте. Проверяйте неожиданные сообщения о фитнесе или подписках, открывая приложение напрямую. Отсутствие результата не гарантирует, что адрес не фигурировал в других инцидентах. Постоянный мониторинг, уникальные пароли, надёжная аутентификация и проверка подключённых приложений обеспечивают эффективную защиту, если старые данные будут использованы повторно спустя годы.