Утечка данных Bukalapak

Подтверждённый набор данных содержал адреса электронной почты, имена пользователей, IP-адреса, имена и хеши паролей, защищённые с помощью bcrypt и SHA-512 с добавлением соли. Нет доказательств того, что распространялись пароли в открытом виде, но даже надёжное хеширование не устраняет риск, связанный со слабыми или повторно используемыми паролями. В объявлениях на форумах также заявлялось о наличии таких полей, как адреса, даты рождения или номера телефонов, однако эти поля не включены в запись: их наличие не было достаточно подтверждено в каноническом перечне категорий данных. Число 13 369 666 обозначает количество уникальных адресов электронной почты, а не общее число строк, всех пользователей Bukalapak или число пользователей, затронутых раскрытием каждого из полей.

Запись относится к резервным копиям данных Bukalapak за период по 23 октября 2017 года. Инцидент был обнаружен в марте 2019 года и добавлен в общедоступные каталоги утечек в апреле 2019 года. Способ первоначального доступа, использованная уязвимость и конкретная система, из которой была выгружена резервная копия, не подтверждены, поэтому подробный сценарий атаки не приводится как установленный факт. В мае 2020 года повторное появление примерно 13 миллионов записей Bukalapak было воспринято как новый инцидент. Компания заявила, что, согласно результатам её расследования, распространявшиеся сообщения были связаны с попыткой атаки в предыдущем году и новой утечки не произошло. Отдельный набор из 91 миллиона записей, о котором сообщалось примерно в тот же период, принадлежал другой индонезийской платформе электронной торговли и не должен прибавляться к общему числу записей Bukalapak.

Наибольшему риску подвержены люди, у которых был аккаунт Bukalapak до последних месяцев 2017 года и которые использовали тот же пароль в других сервисах. Даже если вы закрыли аккаунт или перестали им пользоваться много лет назад, риск может сохраняться: адрес электронной почты, имя пользователя и хеш пароля могут продолжать распространяться в неизменном виде. Короткие, предсказуемые или основанные на словарных словах пароли менее устойчивы к офлайн-подбору, даже если они защищены с помощью bcrypt или SHA-512 с добавлением соли. Риск возрастает, если тот же пароль использовался для электронной почты: доступ к почте может позволить злоумышленникам получить ссылки для сброса паролей во многих сервисах. Записи с именем и IP-адресом более полезны для целевого фишинга с упоминанием местоположения или прошлых покупок. Совпадение не означает, что были раскрыты данные платёжных карт, банковских счетов или документов, удостоверяющих личность: эти поля не входят в подтверждённые категории данных.

Если вы помните пароль, которым пользовались в Bukalapak в 2017 году, найдите все аккаунты, где до сих пор используется тот же или похожий пароль. Начните с электронной почты, банковских сервисов, интернет-магазинов и социальных сетей: создайте для каждого сервиса длинный уникальный пароль. Надёжный менеджер паролей поможет отказаться от повторного использования паролей. Включите двухэтапную проверку в Bukalapak и в аккаунте электронной почты, затем проверьте активные сеансы и подключённые устройства. Проверьте, не появились ли незнакомые вам изменения в резервном адресе электронной почты, номере телефона и правилах пересылки писем. Не отвечайте на сообщения, в которых заказ Bukalapak, возврат средств, выплата продавцу или компенсация за утечку используются как повод запросить пароль, одноразовый код или платёж. Вместо перехода по присланной ссылке откройте приложение или самостоятельно введите официальный адрес. Если появится уведомление о неудачной попытке входа, неожиданном сбросе пароля или новом устройстве, немедленно смените пароль соответствующего аккаунта и завершите остальные сеансы. Сохраните дату подозрительного обращения и сведения об отправителе, затем сообщите о нём поставщику сервиса.

Старые учётные данные из резервных копий могут распространяться годами, поэтому не стоит прекращать защитные меры, когда внимание к инциденту ослабевает. Используйте отчёты о безопасности в менеджере паролей, чтобы регулярно заменять повторно используемые, слабые или ранее раскрытые пароли. Считайте аккаунт электронной почты основой своей цифровой идентичности и защищайте его надёжным паролем, двухэтапной проверкой и актуальными способами восстановления доступа. Если вы используете одно имя пользователя на многих платформах, помните, что злоумышленники могут установить связь между этими аккаунтами. Сообщение о покупке, в котором правильно указаны имя или сведения о заказе, не становится автоматически заслуживающим доверия: самостоятельно сверяйте его с историей заказов в приложении. Перед закрытием неиспользуемого аккаунта удалите сохранённые способы оплаты, подключённые приложения и ненужные поля профиля. Политики хранения резервных копий и доступа к ним должны быть защищены так же, как и рабочие системы. Если появится новое сообщение об утечке Bukalapak, сравните дату, общее число уникальных аккаунтов и раскрытые поля, чтобы определить, идёт ли речь о новом событии или повторном распространении старых данных.

Выполните поиск на LeakData.io по адресу электронной почты, которым вы пользовались в Bukalapak примерно в 2017 году, чтобы проверить, есть ли совпадение с этой записью. Совпадение показывает, что адрес присутствует в подтверждённом наборе данных; оно не означает, что имя пользователя, IP-адрес, имя и хеш пароля были полностью представлены в одной и той же записи. Отсутствие результатов не доказывает, что в наборе нет аккаунта, созданного с другим адресом, поэтому отдельно проверьте старые рабочие и личные адреса. Никогда не предоставляйте пароль, хеш пароля, одноразовый код, платёжные данные или документ, удостоверяющий личность, в ответ на результат поиска. Если найдено совпадение, в первую очередь прекратите повторно использовать старые пароли, защитите аккаунт электронной почты и включите двухэтапную проверку. Не учитывайте объявления о продаже данных Bukalapak в 2020 году как отдельный инцидент с 13 миллионами аккаунтов и не прибавляйте их к общему числу. Также не относите к этой записи показатель в 91 миллион записей, принадлежащих другой платформе. Чёткое разграничение инцидентов и показателей помогает не преувеличивать риск и не приписывать его другой организации.