Утечка данных BitRewards (2020)

При проверке учитывалось, что в рамках одного инцидента одновременно фигурировали название BitRewards, домен bitrewards.com, дата (июль 2020 года, количество аккаунтов) более 427 000, а также поля электронной почты, имени, телефона и хешированного пароля. Безопасность аккаунтов особенно важна на платформах криптовалютных вознаграждений и программ лояльности, поскольку пользователи могут регистрировать разные аккаунты на биржах, в кошельках, магазинах и программах вознаграждений с одним и тем же адресом электронной почты или номером телефона. При внесении записи учитывались только поля аккаунтов, наличие которых было подтверждено; её содержание не расширяли за счёт предположений о доступе к финансовым активам.

Утечка данных BitRewards создаёт для пользователей такие риски, как захват аккаунта, фишинг на криптовалютную тему и мошенничество с баллами программ лояльности. Адрес электронной почты и номер телефона упрощают отправку пользователю как электронных писем, так и текстовых сообщений. Поле имени позволяет персонализировать сообщение. Поле хешированного пароля повышает риск того, что те же или слабые пароли будут пробовать использовать на других сервисах. Злоумышленники могут готовить поддельные сообщения о получении вознаграждений, выводе баллов, привязке кошелька, безопасности аккаунта или проверке участия в акции.

Типы данных, представленные в этом инциденте, являются чувствительными, поскольку связаны с криптовалютами и программами вознаграждений. Наличие в записи закрытого ключа или полных платёжных сведений не предполагалось; однако полей электронной почты, телефона и хеша пароля может быть достаточно, чтобы сделать пользователя целью атаки. Если пароли, представленные в виде хешей, были слабыми, основанными на словарных словах или уже встречались в других утечках, это может привести к атакам с подбором учётных данных. Особому риску подвергаются люди, использующие одни и те же данные для входа на разных платформах.

Если у вас есть аккаунт BitRewards или вы используете тот же адрес электронной почты в криптовалютных сервисах, магазинах или программах вознаграждений, сбросьте пароль в соответствующем аккаунте и во всех аккаунтах, где используется тот же пароль. В первую очередь проверьте аккаунты электронной почты, криптовалютных бирж, кошельков, магазинов, платёжных сервисов и социальных сетей. По возможности включите многофакторную аутентификацию, завершите старые сеансы и проверьте неожиданные уведомления о входе. Ссылки для вывода вознаграждений, привязки кошелька или подтверждения аккаунта проверяйте через независимый канал.

Для организаций утечка данных BitRewards показывает, что в программах вознаграждений и лояльности необходимо защищать как аккаунты, так и каналы общения с клиентами. Сотрудники поддержки не должны вносить изменения в аккаунты, опираясь только на адрес электронной почты, номер телефона или имя. Для перевода баллов, изменения адреса электронной почты, обновления номера телефона, восстановления аккаунта и подтверждения участия в акциях требуется дополнительная проверка. Платформы, связанные с криптовалютами или вознаграждениями, должны предоставлять пользователям понятные предупреждения о безопасности и объяснять, как распознавать поддельные ссылки на кошельки и сообщения о выводе баллов.

Запись об утечке данных BitRewards была ограничена полями, наличие которых подтверждалось в пределах установленного охвата. В ней было учтено 427 133 аккаунта; более высокие значения числа строк, отображавшиеся в некоторых случаях, не указывались напрямую как количество уникальных пользователей. В запись не включались утверждения о наличии закрытых ключей кошельков, данных платёжных карт, банковских счетов или официальных удостоверений личности. Тем не менее сочетание адреса электронной почты, телефона, имени и хешированного пароля создаёт критический риск для безопасности аккаунтов. Контекст криптовалютных вознаграждений может побуждать злоумышленников делать свои сообщения более привлекательными и придавать им видимость срочности.

Общий уровень риска оценён как критический, поскольку утечка данных BitRewards объединяет поля идентификатора аккаунта, телефона и хешированного пароля в контексте криптовалютных вознаграждений. Если вы ищете информацию об утечке данных BitRewards, наиболее полезные практические меры, не использовать один и тот же пароль повторно, включить дополнительную проверку в аккаунтах электронной почты и криптовалютных сервисов, независимо проверять ссылки на вознаграждения или кошельки, не доверять запросам кодов, поступающим по телефону, и внимательно изучать сообщения, составленные с использованием старых данных аккаунта. Отчёт подготовлен для объяснения реального влияния на безопасность аккаунтов без добавления неподтверждённых утверждений о финансовых данных.