Bitly Утечка данных

В записи об утечке Bitly подтверждены следующие категории данных: адреса электронной почты, пароли и имена пользователей. Адрес электронной почты позволяет злоумышленникам отправлять адресные сообщения. Имя пользователя повышает вероятность того, что аккаунты одного человека на разных платформах удастся сопоставить. Хотя хеши паролей не являются паролями в открытом виде, они представляют серьёзный риск при повторном использовании паролей. Риск быстро возрастает, если тот же пароль используется за пределами Bitly, в том числе для электронной почты, социальных сетей, рекламных кабинетов или инструментов управления ссылками.

Безопасность аккаунтов в сервисах сокращения ссылок не ограничивается защитой данных для входа. Компрометация аккаунта управления ссылками может привести к изменению целевых адресов старых сокращённых ссылок, перенаправлению трафика кампаний, ущербу репутации бренда или направлению трафика на поддельные страницы входа. Даже если аккаунт Bitly используется в личных целях, мишенью могут стать социальные сети и маркетинговые инструменты, связанные с тем же адресом электронной почты. Поэтому при оценке риска необходимо учитывать как безопасность паролей, так и безопасность ссылок.

Указанная дата утечки (8 мая 2014 года, подтверждённая дата добавления записи) 6 октября 2017 года, а число затронутых аккаунтов: 9 313 136. Запись связана с доменом bitly.com, а основные категории данных в ней, адреса электронной почты, пароли и имена пользователей. Не утверждается, что данные платёжных карт, банковских счетов, почтовые адреса, номера телефонов, государственные идентификационные документы, личные сообщения или история переходов по ссылкам входят в число подтверждённых категорий данных в этом наборе.

В сообщениях компании об инциденте также упоминались дополнительные меры безопасности, касающиеся подключённых аккаунтов и разрешений для внешних сервисов. Это подчёркивает важность аккаунта Bitly для связанных с ним социальных сетей и инструментов проведения кампаний; однако перечень основных категорий данных, показываемый пользователю, должен ограничиваться подтверждёнными полями, идентифицирующими аккаунт. Найденное совпадение означает, что адрес электронной почты присутствует в этом наборе данных. Такой результат не доказывает, что ваш нынешний аккаунт Bitly скомпрометирован; тем не менее необходимо отдельно проверить безопасность старых паролей и подключённых аккаунтов.

Наибольшему риску подвергаются те, кто использует пароль от аккаунта Bitly также для электронной почты, социальных сетей, рекламного кабинета, инструмента аналитики или аккаунта, связанного с брендом. Маркетинговые команды, сотрудники агентств, менеджеры социальных сетей, создатели контента и аккаунты организаций, регулярно использующих ссылки кампаний, более заметные цели. Если один аккаунт сервиса сокращения ссылок связан с несколькими профилями в социальных сетях или аккаунтами кампаний, ценность такой цели для злоумышленника возрастает.

Пользователи личных аккаунтов также не защищены от риска. Если старый пароль Bitly по-прежнему используется в других аккаунтах, возможны попытки входа с этим паролем, фишинг и сообщения с поддельными ссылками. Для организаций захват аккаунта может обернуться неправомерным использованием опубликованных коротких ссылок или поставить под сомнение достоверность измерения результатов кампаний. Поэтому тем, кто в прошлом использовал аккаунт Bitly для работы, следует проверить не только личные аккаунты, но и аккаунты команд, брендов и кампаний.

Если для вашего адреса найдено совпадение, прежде всего защитите аккаунт электронной почты. Установите уникальный надёжный пароль, включите многофакторную аутентификацию, проверьте адрес для восстановления доступа и активные сеансы. Затем замените любой пароль, который мог использоваться во время работы с Bitly, во всех аккаунтах, где применялся такой же или похожий пароль. В этот список проверок следует включить аккаунты социальных сетей, рекламные кабинеты, инструменты аналитики, панели управления контентом и другие аккаунты управления ссылками.

Если доступ к аккаунту Bitly сохранился, смените пароль и проверьте подключённые аккаунты социальных сетей и целевые адреса ссылок. Убедитесь, что старые короткие ссылки не перенаправляют на необычные адреса. Если использовался аккаунт бренда или организации, проверьте участников команды, авторизованные сеансы и историю изменения ссылок. Прежде чем переходить по ссылкам в сообщениях о сбросе пароля, подключении социальных аккаунтов или подтверждении кампаний, отправленных от имени Bitly, вручную введите известный вам адрес сервиса.

В долгосрочной перспективе аккаунты управления ссылками следует защищать так же тщательно, как аккаунты социальных сетей и рекламных платформ. Поскольку короткие ссылки направляют пользователей на другие страницы, захват аккаунта может напрямую повлиять на доверие к бренду. Для каждого инструмента управления ссылками следует использовать уникальные пароли и многофакторную аутентификацию, а также регулярно проверять сеансы. Для командных аккаунтов необходимо применять принцип минимальных привилегий, отзывать доступ у бывших сотрудников и регулярно отслеживать изменения важных ссылок.

Использование менеджера паролей, создание отдельного пароля для каждого сервиса и разделение аккаунтов кампаний и личных аккаунтов обеспечивают устойчивую защиту. Для социальных сетей, рекламы, аналитики и инструментов управления ссылками не следует использовать одну и ту же комбинацию адреса электронной почты и пароля. Старые ссылки кампаний нужно периодически проверять, а целевые адреса коротких URL, связанных с доменом бренда, фиксировать. Так попытке захвата аккаунта с использованием данных старой утечки будет сложнее перерасти в угрозу безопасности текущих кампаний.

Положительный результат проверки Bitly означает, что проверяемый адрес электронной почты найден в наборе данных Bitly от 8 мая 2014 года. Это означает, что адрес электронной почты, имя пользователя и хеш пароля могут представлять риск. Отрицательный результат означает лишь отсутствие совпадения в этом конкретном наборе данных; из него нельзя делать вывод, что пользователь не был затронут другими инцидентами в сервисах управления ссылками, социальных сетях или маркетинговых инструментах.

Правильный порядок действий, усилить защиту электронной почты, заменить старый пароль Bitly во всех аккаунтах, проверить настройки безопасности в Bitly и подключённых аккаунтах социальных сетей, проверить целевые адреса старых коротких ссылок и завершить авторизованные сеансы в аккаунтах кампаний. Если оставить тот же пароль в другом сервисе, прошлая утечка может затронуть нынешние аккаунты. Поэтому результат проверки Bitly следует воспринимать не просто как запись о прошлом, а как практическое предупреждение о необходимости защитить пароли и ссылки, используемые сейчас.