Предполагаемое раскрытие данных BioBigBox

В записи сохранены следующие типы данных, на которые указывают имеющиеся сведения: адреса электронной почты, номера телефонов, полные имена, IP-адреса и частичные данные платежных карт. Адрес электронной почты и номер телефона могут использоваться для целевого фишинга и поддельных сообщений от службы поддержки. Полное имя может сделать сообщения более убедительными, а IP-адрес, дать дополнительные сведения об обстоятельствах подключения. Частичные данные платежной карты не следует считать полным номером карты; тем не менее они могут представлять риск при социальной инженерии и попытках обмана под видом проверки платежа.

• Контактные данные аккаунта BioBigBox могут использоваться для рассылки поддельных сообщений от службы поддержки или сообщений о платежах.
• Частичные данные платежной карты не являются полными платежными данными, но могут сделать мошеннические сценарии более убедительными.
• Когда полное имя, адрес электронной почты и номер телефона встречаются вместе, риск персонализированного фишинга возрастает.
• IP-адрес может дать дополнительные сведения о сеансе или приблизительных обстоятельствах подключения.

Рассматриваемые сведения об инциденте BioBigBox охватывают домен biobigbox.com, февраль 2022 года, 51 416 записей и такие типы данных, как адреса электронной почты, номера телефонов, полные имена, IP-адреса и частичные данные платежных карт. Хотя эти сведения согласуются с признаками в открытых каталогах утечек, инциденту не присвоен статус подтвержденного из-за отсутствия внутреннего отчета компании об инциденте, официального уведомления или заявления регулирующего органа. Это различие означает, что инцидент заслуживает внимания пользователей, но не все технические подробности окончательно установлены.

Это описание ограничено полями, на которые указывают имеющиеся сведения. Полный номер платежной карты, CVV, банковский счет, номер официального удостоверения личности, медицинские записи, пароль и содержание личных сообщений не включены, поскольку доступная запись не указывает на их наличие. Для пользователя безопасный подход, серьезно отнестись к указанным полям и не делать лишних предположений об отсутствующих.

Основной группой риска считаются пользователи, которые оставляли в BioBigBox сведения об аккаунте, контактные данные или информацию об операциях, связанных с платежами. Повышенному риску подвержены люди, использующие один и тот же адрес электронной почты или номер телефона в аккаунтах магазинов, сервисов в сфере здоровья, финансовых сервисов и социальных сетей. Даже если аккаунт BioBigBox больше не используется активно, контактные данные и частичные платежные сведения могут быть объединены с другими наборами данных.

• Люди, использующие один и тот же адрес электронной почты и номер телефона в нескольких аккаунтах
• Пользователи, которые быстро реагируют на сообщения о проверке платежей или сообщения от службы поддержки
• Люди, которым могут приходить целевые сообщения с использованием имени, фамилии и номера телефона
• Люди, которые не проверяют регулярно свои старые аккаунты и не следят за утечками данных

Если у вас есть аккаунт, связанный с BioBigBox или biobigbox.com, внимательно проверяйте неожиданные сообщения о платежах, поддержке, подтверждении аккаунта или продлении срока действия карты, полученные по электронной почте или телефону. Поскольку имеющиеся сведения по этой записи не указывают на поле с паролем, инцидент не рассматривается как утечка паролей. Тем не менее разумно включить многофакторную аутентификацию в важных аккаунтах с теми же контактными данными и обновить способы восстановления доступа.

• Включите многофакторную аутентификацию в своем аккаунте электронной почты.
• Проверяйте через официальный канал ссылки для оплаты или обращения в поддержку, полученные на телефон.
• Не вводите данные непосредственно в сообщениях, запрашивающих проверку карты или платежа.
• Внимательно проверяйте неожиданные предупреждения о входе и уведомления об изменениях в аккаунте.

Для постоянной защиты необходимо использовать разные адреса электронной почты для разных целей, оставлять включенными уведомления в аккаунтах, связанных с платежами и здоровьем, закрывать неиспользуемые учетные записи и регулярно проверять операции по картам. Даже если пароль не попал в утечку, контактные данные и частичные платежные сведения могут помочь злоумышленникам создавать более убедительные сценарии.

Со стороны компании для снижения последствий подобных инцидентов важно ограничивать сроки хранения данных, не хранить без необходимости поля со сведениями о частичных платежах, регулярно проверять средства контроля доступа и иметь четкие процедуры уведомления пользователей. Запись BioBigBox показывает, что риски для конфиденциальности могут возникать и из-за категорий данных, не связанных с паролями.

Если при проверке записи BioBigBox на LeakData.io пользователи видят результат, им следует оценить, какие адреса электронной почты или номера телефонов затронуты и в каких сценариях, связанных с платежами или поддержкой, эти сведения могут быть использованы неправомерно. Даже если запись не имеет статуса подтвержденной, одновременное наличие контактных данных и частичных сведений о карте, достаточная причина принять меры безопасности.

Новое официальное уведомление, документ, поданный регулирующему органу, или надежная новостная публикация независимого источника об утечке данных BioBigBox могут стать основанием для пересмотра ее объема. До тех пор эта запись, с осторожностью отнесенная к категории инцидентов с конфиденциальными данными, служит предупреждением, побуждающим пользователей проверить свои старые аккаунты и безопасность каналов связи, связанных с biobigbox.com.