Утечка данных bigbasket в 2020 году

Подтверждено раскрытие следующих категорий данных: даты рождения, адреса электронной почты, IP-адреса, имена, пароли, номера телефонов и физические адреса. Такое сочетание позволяет злоумышленникам использовать настоящее имя, контактные данные и сведения о доставке для создания поддельных сообщений об отправке товара, отмене заказа, возврате средств или обновлении адреса. Пароли хранились не в открытом виде, а в устаревшем формате хешей Django(SHA-1), который не соответствует современным требованиям к хранению паролей и не исключает риска офлайн-подбора слабых паролей. Сведения о платёжных картах и банковских счетах не входят в перечень подтверждённых категорий данных для этой записи.

В этой записи датой утечки считается 14 октября 2020 года. Ближе к концу октября 2020 года на продажу выставили базу данных, которая, как сообщалось, имела объём около 15 GB и содержала почти 20 миллионов записей о клиентах. В ноябре 2020 года bigbasket сообщила, что проверяет сведения о возможной утечке данных, выясняет её масштаб совместно со специалистами по безопасности и подала заявление в Bengaluru Cyber Crime Cell. Компания также заявила, что не хранит финансовые данные или номера карт. В апреле 2021 года данные получили более широкое распространение, а анализ, на котором основана эта запись, подтвердил наличие 24 500 011 уникальных адресов электронной почты. Первоначальная оценка в почти 20 миллионов записей и 24 500 011 уникальных адресов электронной почты, это разные показатели, полученные на разных этапах анализа. Точный технический способ проникновения публично не раскрывался.

Непосредственному риску прежде всего подвержены клиенты, у которых в затронутый период был аккаунт bigbasket и которые указывали номер телефона или адрес доставки. Если вы использовали тот же пароль для электронной почты, покупок, платежей или рабочих аккаунтов, риск попыток входа с повторно используемым паролем для вас выше. Сочетание имени, номера телефона, даты рождения и адреса может сделать более убедительными звонки от мнимой службы поддержки и сообщения на тему доставки. Сам по себе IP-адрес не раскрывает точное местоположение, но в сочетании с другими полями профиля может дать дополнительные сведения для сопоставления аккаунтов и выбора целей.

Если пароль, который вы использовали в bigbasket в период утечки, по-прежнему используется в каком-либо аккаунте, немедленно смените его и перестаньте использовать похожие варианты. В первую очередь защитите электронную почту: проверьте активные сеансы и способы восстановления доступа, включите многофакторную аутентификацию там, где она поддерживается. Не переходите по ссылкам, присланным под предлогом заказа, купона, возврата средств, исправления платежа или обновления адреса; самостоятельно откройте знакомый вам сайт или официальное приложение. Наличие вашего настоящего имени, номера телефона или адреса в сообщении не доказывает, что отправителю можно доверять. Никому не сообщайте одноразовые коды подтверждения.

Используйте менеджер паролей, чтобы создавать отдельный пароль для каждого сервиса, и по возможности используйте отдельные псевдонимы электронной почты для аккаунтов в интернет-магазинах. Удалите адреса доставки и номера телефонов из старых аккаунтов, которыми больше не пользуетесь, и поддерживайте актуальность данных для восстановления доступа. Не отключайте уведомления о входе для электронной почты и финансовых аккаунтов, а неожиданные уведомления о сбросе пароля или заказе проверяйте через независимый канал. Такие сведения, как адреса и даты рождения, трудно изменить, и они могут использоваться для социальной инженерии спустя годы. Поэтому не считайте, что однократная смена пароля устраняет все риски этого инцидента.

Проверьте наличие ваших данных в этой записи, указав адрес электронной почты, который вы использовали в bigbasket. Совпадение означает, что адрес присутствует в наборе данных bigbasket, на котором основана эта запись; оно не означает, что сведения о платёжной карте или банковском счёте были раскрыты. При положительном результате замените старый пароль везде, где вы использовали его повторно, уделите первоочередное внимание защите электронной почты и остерегайтесь мошенничества под видом сообщений о доставке. При отрицательном результате помните, что он относится только к этому набору данных и не исключает раскрытия ваших данных в других утечках.