Список данных для спам-рассылок: Acuity

Подтверждены следующие категории данных: даты рождения, адреса электронной почты, пол, IP-адреса, имена, номера телефонов, физические адреса и формы обращения. Исходный файл имел необычайно обширную и упорядоченную структуру из 414 столбцов, однако публично перечислены только восемь явно подтверждённых категорий. Пароли, платёжные карты и номера документов, удостоверяющих личность, не относятся к подтверждённым категориям, и считать их раскрытыми нельзя. Сочетание имени, даты рождения, номера телефона, электронной почты и почтового адреса может использоваться для целевого фишинга, звонков от лжесотрудников службы поддержки, мошенничества с использованием почтовых отправлений и попыток угадать ответы на вопросы для проверки личности. Наличие поля не означает, что оно было заполнено, содержало актуальные сведения или в каждой строке было корректно связано с тем же человеком. Поскольку это агрегированный набор данных с неустановленным источником, совпадение не доказывает, что человек был клиентом какой-либо компании под названием Acuity.

Дата 18 июня 2020 года определена по имени файла “ACUITY_MASTER_18062020.csv”; это не подтверждённая дата доступа к системе или извлечения данных. Набор данных объёмом примерно 437 GB впоследствии широко распространялся, а в 2023 году был проведён подробный анализ для установления его источника. Файл содержал 21 873 706 строк с адресами электронной почты, из которых 14 055 729 были уникальными, поэтому общее число записей и число уникальных затронутых адресов, разные показатели. Единообразное форматирование, множество различных значений в поле “datasource” и тот факт, что почти каждый адрес уже встречался в других подборках утечек или спам-базах, позволяют предположить, что набор мог быть собран агрегатором данных, а не представлял собой исходную таблицу пользователей одного сервиса. Это предположение не доказывает причастность конкретной организации. Ни одну из компаний под названием Acuity, работающих в сфере здравоохранения, страхования, программного обеспечения, освещения или планирования расписаний, не удалось с достаточной уверенностью подтвердить в качестве источника, поэтому приписывать им этот набор данных нельзя.

В группе риска, люди, чьи адреса электронной почты присутствуют в наборе и чьи строки могут связывать их с именем, номером телефона, адресом, датой рождения, полом, формой обращения или сведениями об IP-адресе. Им необязательно было иметь какие-либо отношения с компанией под названием Acuity: данные могли быть объединены из маркетинговых списков, старых сервисов или уже распространявшихся подборок. Сотрудники, использующие корпоративную электронную почту, могут получать более убедительные сообщения о счетах, доставке, кадровых вопросах или поддержке, если отправителям доступны сведения о телефоне и почтовом адресе. Потребителям следует с осторожностью относиться к поддельным сообщениям от имени банков, служб доставки, страховых компаний или государственных органов, в которых сочетаются имя, дата рождения и адрес. Аккуратное форматирование не гарантирует точности: в данных могут встречаться старые адреса, номера телефонов, перешедшие к другим владельцам, и ошибочные связи с конкретными людьми. Поэтому при интерпретации результатов необходимо учитывать как риски раскрытия данных, так и риск ошибочного отнесения сведений к человеку.

Наличие поля с паролем не подтверждено в этой записи, поэтому само по себе совпадение с набором Acuity не требует сброса пароля в качестве первоочередной меры. Внимательнее проверяйте неожиданные электронные письма, телефонные обращения и почтовые отправления. Не считайте отправителя заслуживающим доверия только потому, что он знает имя, дату рождения или адрес: эти сведения могли быть получены из агрегированных данных. Проверяйте запросы, связанные с аккаунтами, платежами, доставкой и подтверждением личности, самостоятельно открывая официальный сайт организации, а не переходя по ссылке из сообщения. Никогда не сообщайте одноразовые коды и ответы на контрольные вопросы и не отправляйте изображения документов, удостоверяющих личность. Включите многофакторную аутентификацию для электронной почты, проверьте подозрительные сеансы и блокируйте нежелательные звонки и сообщения. Если на ваш адрес поступают неожиданные уведомления о кредитах, подписках или аккаунтах, свяжитесь с указанной организацией по независимому каналу. Рассмотрите возможность удаления своих данных у брокеров данных и исправления неточных или устаревших сведений.

Защита от рисков, связанных с агрегированными подборками данных, требует более широкого подхода, чем обеспечение безопасности одного аккаунта. Разделение личной и рабочей электронной почты, использование псевдонимов там, где это уместно, в общедоступных формах и отказ от заполнения необязательных полей профиля затрудняют сопоставление записей из разных источников. Используйте многофакторную аутентификацию для электронной почты и важных аккаунтов, храните уникальные пароли в менеджере паролей и регулярно проверяйте данные для восстановления доступа. Воспринимайте номера телефонов, даты рождения и почтовые адреса как постоянные идентификаторы, а не как секретные пароли; попросите службы поддержки не принимать только эти сведения в качестве подтверждения личности. Периодически проверяйте возможности исключения своих данных из баз брокеров данных и маркетинговых списков. Рассмотрите возможность мониторинга кредитной истории или идентификационных данных, если такие услуги доступны и соразмерны вашему риску. Отслеживание новых совпадений в утечках и умение распознавать фишинг помогают уменьшить последствия, когда старые сведения спустя годы заново объединяют и распространяют.

Если проверка через LeakData показала совпадение с набором Acuity, это означает, что адрес электронной почты присутствует в этом наборе с неустановленным источником. Это не свидетельствует о том, что вы были клиентом конкретной компании Acuity или что такая компания допустила утечку ваших данных. Совпадение также не доказывает, что все восемь категорий данных были заполнены или содержали точные сведения в вашей строке. Воспринимайте результат как предупреждение о том, что контактные данные могли распространяться в маркетинговых списках или спам-базах. Никогда не вводите настоящий пароль, дату рождения или почтовый адрес в поле поиска по утечкам. Отсутствие совпадения не даёт абсолютной гарантии, что персональных данных нет в других подборках. Следите за предупреждениями о безопасности вашей электронной почты, проверяйте подозрительные сообщения по независимым каналам и не отключайте многофакторную аутентификацию. Правильная реакция, принимать меры против рисков раскрытия данных и целевого мошенничества, не возлагая вину на организацию, чья причастность не подтверждена.