Утечка данных BreachForums

В записи BreachForums подтверждено наличие адресов электронной почты, имён пользователей, IP-адресов, хешей паролей и личных сообщений. Если адрес электронной почты и имя пользователя встречаются вместе, профиль на форуме можно связать с другими аккаунтами. IP-адреса могут давать технические сведения о регионах подключения и истории сеансов. Личные сообщения могут содержать более чувствительную информацию: переписку между пользователями, ссылки, обсуждения сделок или сведения о третьих лицах.

Хранение паролей с использованием Argon2 указывает на то, что для поля пароля не применяется слабый метод хеширования. Тем не менее, если пользователь использовал тот же пароль в других сервисах, риск компрометации аккаунтов сохраняется. Что ещё важнее, из-за тематики форума сами сведения об участии в нём также могут быть чувствительными. Раскрытие того, что пользователь зарегистрирован на этом форуме, какое имя пользователя он использует или с кем переписывался, может создавать личные, юридические риски или риски для организаций.

Подтверждённый объём этой записи: 212 156 аккаунтов и пять категорий данных: адреса электронной почты, IP-адреса, пароли, личные сообщения и имена пользователей. Номера телефонов, физические адреса, данные платёжных карт, государственные удостоверения личности и полное содержимое устройств не входят в число подтверждённых полей данных этой записи. Запись следует ограничивать сведениями об участии и сообщениями, относящимися к соответствующей версии BreachForums.

Поскольку в разные периоды под тем же названием открывались или воссоздавались форумы, эту запись не следует путать с другими версиями BreachForums. Последующие закрытия форумов, другие утечки или другие доменные имена следует рассматривать как отдельные инциденты. Показываемые пользователю количество аккаунтов и категории данных должны оставаться в рамках подтверждённого инцидента 2022 года.

К группе наибольшего риска относятся люди, у которых есть аккаунт BreachForums, которые используют то же имя пользователя на других платформах и повторно используют один пароль в разных аккаунтах. Если адрес электронной почты связан с личностью пользователя или его работой в организации, раскрытие участия в форуме может иметь для него более серьёзные последствия. IP-адреса могут давать дополнительные сведения о регионах подключения пользователей или их привычках доступа.

Пользователи, у которых есть личные сообщения, также подвержены риску из-за содержания переписки. Если в сообщениях передавались ссылки, имена пользователей, подробности сделок или сведения о третьих лицах, их также следует оценить отдельно. Если для доступа к форуму использовалось корпоративное устройство или рабочая электронная почта, инцидент следует отдельно рассмотреть и с точки зрения корпоративной безопасности. Риск не сводится к необходимости сменить пароли: важны также возможность установления личности и связи между участниками переписки.

Пользователям, обнаружившим совпадение, следует прежде всего проверить, какой пароль использовался в их аккаунте BreachForums и применялся ли он повторно в других аккаунтах. Если тот же или похожий пароль используется в другом аккаунте, его следует немедленно сменить. В первую очередь стоит уделить внимание электронной почте, социальным сетям, форумам, аккаунтам разработчика, платформам для общения и рабочим аккаунтам. Для каждого аккаунта следует использовать уникальный длинный пароль.

Поскольку личные сообщения могли быть затронуты, пользователям следует проверить переданные в них ссылки, адреса файлов, псевдонимы, адреса электронной почты и сведения о третьих лицах. Следует осторожно относиться к сообщениям, связанным с угрозами, шантажом, безопасностью аккаунтов, приглашениями на форум или продажей данных. Вместо входа по ссылкам пользователям следует напрямую открывать соответствующие сервисы, включить двухфакторную аутентификацию для важных аккаунтов и обновить сведения для восстановления доступа.

Инцидент BreachForums показывает, что сведения об участии в форумах повышенного риска могут сильнее влиять на конфиденциальность, чем данные обычных аккаунтов в сообществах. Пользователям следует избегать использования основного адреса электронной почты, корпоративного аккаунта или повторяющихся имён пользователей в сообществах с чувствительной тематикой. Для каждого аккаунта предпочтительны уникальный пароль, отдельные учётные данные и надёжная двухфакторная аутентификация.

Для корпоративных команд безопасности такие записи указывают на необходимость проверять, используются ли адреса электронной почты сотрудников на форумах повышенного риска. Однако эти проверки должны проводиться осторожно, в соответствии с законом и с соблюдением принципов минимизации данных. Со стороны пользователей закрытие старых форумных аккаунтов, отказ от хранения чувствительной информации в личных сообщениях и от повторного использования псевдонимов в разных контекстах снижают долгосрочный риск.

Совпадение адреса электронной почты с этой записью означает, что пользователь включён в набор данных BreachForums. Прежде всего ему следует оценить, какое имя пользователя и пароль он использовал, можно ли связать это имя с другими профилями и какие сведения могли содержаться в личных сообщениях. Если можно установить связь с личностью пользователя или его работой в организации, риск следует считать более высоким.

Совпадение не доказывает, что пароль был раскрыт в открытом виде. Однако наличие хешей паролей Argon2, IP-адресов, имён пользователей и личных сообщений в одном наборе данных, серьёзный сигнал об угрозе безопасности. Использование уникальных паролей и двухфакторной аутентификации, проверка входящих сообщений напрямую через доверенный канал и сокращение числа аккаунтов в сообществах с чувствительной тематикой существенно снижают риски захвата аккаунтов, установления личности путём сопоставления данных и угроз конфиденциальности, которые могут возникнуть в результате утечки BreachForums.