Утечка данных Canadian Tire в 2025 году

Подтверждено наличие следующих типов данных: даты рождения, адреса электронной почты, сведения о поле, имена, частичные данные кредитных карт, пароли, номера телефонов и почтовые адреса. Не следует считать, что все эти поля присутствуют в каждой записи; по имеющимся сведениям, даты рождения и частичные данные карт есть лишь в части записей. Основной объём составляют обширные контактные данные клиентов и хеши паролей PBKDF2.

Хеш PBKDF2, это не пароль в открытом виде; однако для слабых паролей и паролей, используемых повторно, риск сохраняется. Одних частичных данных карты недостаточно для совершения платежа, но их могут использовать, чтобы вызвать доверие к поддельным сообщениям от службы поддержки, о проверке платежа или возврате средств. Имя, номер телефона и адрес также делают такие сообщения более убедительными.

Подтверждённая дата инцидента (2 октября 2025 года, а подтверждённый объём данных, доступных для проверки,) 38 306 562 уникальных адреса электронной почты. Примерно 42 миллиона записей в наборе данных не означают такое же количество отдельных людей. Один и тот же клиент может фигурировать в данных по нескольким адресам, операциям, аккаунтам или каналам связи. Поэтому количество записей и количество уникальных адресов электронной почты следует рассматривать отдельно.

В этой записи каталога не утверждается, что произошла утечка сведений о банковских счетах, данных программы лояльности, полных номеров кредитных карт, кодов безопасности карт, паролей в открытом виде или выданных государством удостоверений личности. Подтверждённый объём ограничивается контактными данными клиентов, хешами паролей PBKDF2, датами рождения из части записей и частичными данными карт. Риск в большей степени связан с безопасностью аккаунтов и целевым мошенничеством в розничной торговле, чем с непосредственным проведением платежей по картам.

Риску могут подвергаться клиенты, которые создали аккаунт Canadian Tire, совершали покупки онлайн, предоставляли адрес доставки или использовали один и тот же пароль для аккаунтов разных магазинов и электронной почты. Повторное использование паролей, один из наиболее серьёзных рисков. Если один и тот же пароль используется для электронной почты, покупок, социальных сетей, рабочих аккаунтов или аккаунтов, связанных с платежами, эти аккаунты также могут стать целью атак.

Пользователям, чьи частичные данные карты и дата рождения присутствуют в части записей, следует особенно осторожно относиться к поддельным сообщениям о проверке платежа и подтверждении личности. Поддельные сообщения о возврате средств, гарантии, доставке, акциях, баллах программы лояльности или обновлении платёжных данных могут содержать реальные сведения о клиенте. Наличие в сообщении типа карты, последних четырёх цифр её номера, адреса или телефона не доказывает подлинность запроса.

Пользователям, чьи данные найдены в этом наборе, необходимо убедиться, что пароль от аккаунта Canadian Tire не используется ни в одном другом аккаунте. Если такой же или похожий пароль использовался в других сервисах, его следует заменить на уникальный пароль для каждого аккаунта. В первую очередь нужно проверить аккаунты электронной почты, магазинов и сервисов, связанных с платежами. По возможности следует включить двухфакторную аутентификацию.

Пользователям следует оставлять включёнными уведомления от эмитента карты и проверять через официальные каналы неожиданные сообщения о проверке платежа, возврате средств, доставке или изменении адреса. Не следует отвечать на сообщения с просьбой предоставить полный номер карты, код безопасности, банковские данные, проверочный код или пароль от аккаунта. Даже сообщение с частичными данными карты может указывать на то, что злоумышленник использует набор данных.

Крупные наборы данных розничных компаний создают долгосрочный риск, если содержат хеши паролей и частичную информацию, связанную с платежами. Пользователям следует использовать уникальный пароль для каждого аккаунта магазина, отдавать предпочтение менеджеру паролей и регулярно закрывать старые аккаунты, созданные для покупок. Сохранённые адреса и способы оплаты следует регулярно проверять.

Для организаций одного лишь применения надёжных методов хеширования паролей недостаточно: контактные данные клиентов, адреса и частичные данные карт тоже могут использоваться для мошенничества. Следует сокращать сроки хранения данных, ограничивать хранение ненужных полей с частичными данными карт и в уведомлениях клиентам чётко разграничивать, какие банковские данные, данные программы лояльности и данные карт затронуты. Со стороны пользователей устойчивую защиту обеспечивают уведомления по картам, уникальные пароли и привычка инициировать операции через официальные каналы.

Совпадение по адресу электронной почты в этой записи каталога означает, что адрес присутствует в наборе клиентских данных Canadian Tire. Совпадение не означает, что произошла утечка сведений о банковском счёте, данных программы лояльности, полного номера карты или пароля в открытом виде. Прежде всего пользователю следует определить, какой аккаунт и пароль он использовал с этим адресом электронной почты и где ещё применял тот же пароль.

Правильные действия, заменить повторно используемые пароли, защитить аккаунт электронной почты, следить за уведомлениями по картам, проверять сообщения о доставке и возврате через официальные каналы и осторожно относиться к сообщениям с частичными данными карт. Из-за большого масштаба утечки, наличия хешей паролей и частичных данных карт этой записи каталога следует уделить первоочередное внимание с точки зрения безопасности аккаунтов и мошенничества в розничной торговле.