Утечка данных Bonobos

Перечень полей, наличие которых подтверждено в записи Bonobos, довольно широк: адреса электронной почты, имена, IP-адреса, номера телефонов, почтовые адреса, история покупок, частичные данные кредитных карт, пароли и ранее использованные пароли. Частичные данные карт могут включать такие платёжные сведения, как тип карты, имя держателя, срок действия и последние четыре цифры номера. Эти сведения не заменяют полный номер карты, однако с их помощью можно сделать фишинговые сообщения более убедительными.

Сочетание истории покупок и адресных данных упрощает создание поддельных сообщений о доставке, возврате, выставлении счёта, рекламной акции или проверке аккаунта, адаптированных под конкретного пользователя. Хранение паролей в виде хешей SHA-512 с солью обеспечивает важный уровень защиты. Однако при сопоставлении старых или повторно используемых паролей с другими наборами данных риск сохраняется. Наличие ранее использованных паролей также важно: они могут раскрыть закономерности в том, как пользователь составлял свои пароли.

Подтверждённый масштаб утечки для этой записи составляет 2 811 929 уникальных адресов электронной почты. В записи представлены следующие категории данных: адреса электронной почты, ранее использованные пароли, IP-адреса, имена, частичные данные кредитных карт, пароли, номера телефонов, почтовые адреса и сведения о покупках. Полные номера кредитных карт, коды безопасности карт и сведения о банковских счетах не входят в число подтверждённых полей этой записи. Это различие важно учитывать, чтобы не преуменьшать риск, но и не преувеличивать его, добавляя неподтверждённые сведения.

Инцидент касается данных клиентов Bonobos. Не следует автоматически предполагать, что утечка затронула и другие розничные бренды той же группы компаний. Число в записи отражает количество затронутых уникальных адресов электронной почты; подсчёт позиций заказов, записей о картах или адресах может дать другие результаты. Основной масштаб последствий, показываемый пользователю, следует оценивать по числу подтверждённых уникальных аккаунтов и перечисленным категориям данных.

Наибольшему риску подвержены клиенты, которые имеют аккаунт Bonobos, совершали покупки в прошлом и использовали тот же пароль в других интернет-магазинах или аккаунтах электронной почты. Пользователи, чьи адреса, номера телефонов и история заказов присутствуют в данных, могут стать целью поддельных сообщений о доставке, возврате, обновлении платёжных данных или обращений от имени службы поддержки. Частичные данные карт могут дать злоумышленникам сведения, которые усиливают впечатление, что пользователь действительно является клиентом Bonobos.

Из-за наличия полей с ранее использованными паролями следует учитывать риск не только для пароля, действовавшего на момент утечки, но и для привычных схем составления прежних паролей. Если пользователь полагает, что в других аккаунтах у него остались старые пароли с небольшими изменениями, обновление паролей в этих аккаунтах должно стать приоритетом. В частности, подобные сочетания данных могут напрямую затронуть аккаунты электронной почты, интернет-магазинов, платёжных сервисов, служб доставки и социальных сетей.

Пользователям, обнаружившим совпадение в этой записи, следует прежде всего сменить пароль в аккаунте Bonobos и во всех других аккаунтах, где мог использоваться тот же пароль. С помощью менеджера паролей следует создать для каждого аккаунта уникальный, длинный и трудноподбираемый пароль. Поскольку ранее использованные пароли тоже могли быть раскрыты, не стоит возвращаться к старым схемам составления паролей или использовать похожие варианты. В первую очередь следует защитить аккаунты электронной почты и аккаунты, связанные с платежами.

Пользователям следует с осторожностью относиться к поддельным уведомлениям о доставке, формам возврата, сообщениям о проверке платежа, обновлении данных карты или специальных скидках. Вместо входа по ссылкам из полученных сообщений нужно открывать соответствующий сервис напрямую. Не следует открывать неожиданные вложения; операции по карте стоит проверять регулярно. Если банк или эмитент карты предлагает уведомления о необычных операциях, их следует включить. Двухфакторная аутентификация в наиболее важных аккаунтах обеспечивает дополнительную защиту.

Инцидент Bonobos показывает, что аккаунты интернет-магазинов не только делают покупки удобнее, но и содержат обширный набор персональных данных. Пользователям следует регулярно проверять адреса, сведения, связанные с оплатой, и историю заказов, хранящиеся в их аккаунтах магазинов. Аккаунты, которые больше не используются, стоит закрыть, сохранённые способы оплаты (по возможности удалить, а адреса доставки) оставить только те, которые нужны сейчас. Использование одного адреса электронной почты во всех интернет-магазинах также может повысить риск целевого фишинга.

С точки зрения корпоративной безопасности защита данных розничной торговли требует комплексного подхода к управлению резервными копиями, контролю доступа, хранению паролей, сегментации платёжных данных и процессам уведомления об инцидентах. Со стороны пользователя необходимо сочетать уникальные пароли, многофакторную аутентификацию, отслеживание операций по картам и регулярное удаление ненужных данных из аккаунтов. Даже при надёжных хешах паролей сочетание контактных данных и сведений о покупках надолго сохраняет риск социальной инженерии.

Совпадение адреса электронной почты в этой записи указывает на то, что пользователь присутствует в наборе данных Bonobos. Прежде всего следует определить, какой пароль использовался в аккаунте Bonobos, в каких других аккаунтах он ранее применялся повторно и какие персональные данные сохранены в аккаунте магазина. Затем нужно сменить пароли, особенно в аккаунтах электронной почты, платёжных сервисов, магазинов и служб доставки.

Совпадение не доказывает, что полный номер карты был раскрыт. Однако наличие в одном наборе частичных данных карты, адреса, номера телефона, истории покупок и хешей паролей, серьёзный повод для осторожности. Пользователям необходимо сделать пароли уникальными, использовать двухфакторную аутентификацию, отслеживать операции по картам и проверять сообщения напрямую через доверенный канал. Эти меры существенно снижают риски захвата аккаунтов, целевого мошенничества и фишинга, которые могут возникнуть вследствие утечки Bonobos.