Утечка данных Canva

К подтвержденным категориям данных относятся адреса электронной почты, сведения о географическом местоположении, имена, пароли и имена пользователей. Для аккаунтов, в которых не используется вход через социальные сети, данные паролей связаны со значениями хешей bcrypt. Хотя bcrypt считается более устойчивым к взлому, чем старые и более быстрые методы хранения паролей, риск сохраняется для слабых паролей и паролей, повторно используемых на других сервисах. Сочетание адреса электронной почты, имени пользователя и имени может помочь злоумышленникам сопоставить аккаунты пользователя на разных платформах. Сведения о местоположении также могут использоваться для поддельных сообщений от службы поддержки, мошенничества под видом региональных кампаний или персонализированных попыток фишинга. Поэтому инцидент не следует рассматривать лишь как проблему аккаунта на платформе для дизайна: если тот же адрес электронной почты или пароль используется в других аккаунтах, возникает более широкий риск захвата аккаунтов.

В инциденте Canva подтверждено наличие данных 137 272 116 аккаунтов. Основной датой утечки следует считать 24 мая 2019 года, датой подтвержденного добавления (9 августа 2019 года, а датой последнего обновления источника) также 9 августа 2019 года. Поля данных ограничены адресами электронной почты, сведениями о географическом местоположении, именами, паролями и именами пользователей. Файлы дизайна, данные платежных карт, закрытые материалы команд, официальные документы, удостоверяющие личность, и данные корпоративных договоров не входят в подтвержденные категории данных для этой конкретной записи о безопасности аккаунтов. Последующее распространение некоторых хешей паролей Bcrypt, взломанных отдельно, представляет собой дополнительный фактор риска; однако основной домен, отображаемый пользователю, по-прежнему следует рассматривать как пароль. Эти границы дают пользователю реалистичное и ясное представление о риске.

Наибольшему риску подвержены люди, которые используют адрес электронной почты из своего аккаунта Canva и похожий пароль на других сервисах. К приоритетным группам относятся дизайнеры, менеджеры социальных сетей, преподаватели, учащиеся, маркетинговые команды и сотрудники, управляющие аккаунтами брендов. Если аккаунт Canva был создан с рабочим адресом электронной почты, злоумышленники могут объединить этот адрес с названием компании, именем пользователя и сведениями о местоположении, чтобы отправлять более убедительные сообщения. Если то же имя пользователя встречается на сайтах с портфолио, в социальных сетях или рабочих инструментах, риск сопоставления аккаунтов возрастает. Старые аккаунты Canva также важны, поскольку использовавшиеся ранее пароли могут по-прежнему действовать на других сервисах. Для пользователей с доступом к командным аккаунтам повторное использование паролей может поставить под угрозу не только личный аккаунт, но и общие ресурсы бренда.

Пострадавшему пользователю следует прежде всего заменить пароль аккаунта Canva на уникальный и надежный. Если тот же или похожий пароль использовался на других сервисах, в первую очередь следует обновить пароли электронной почты, профилей в социальных сетях, облачных хранилищ, инструментов совместной работы, рекламных аккаунтов и сервисов с подключенными платежными средствами. Для каждого сервиса нужно выбрать отдельный пароль с помощью менеджера паролей и по возможности включить многоэтапную проверку в аккаунтах. Прежде чем переходить по ссылкам в сообщениях, которые выглядят как письма от Canva или уведомления от команды дизайнеров, следует проверить адрес. Особого внимания требуют поддельные предложения поделиться шаблонами, приглашения получить доступ к файлам бренда, счета на оплату, приглашения в команду и письма о приостановке действия аккаунта. В корпоративных командах также следует проверить сеансы аккаунтов администраторов, подключенные приложения и состав участников команд.

В долгосрочной перспективе платформы для дизайна и создания контента следует защищать так же тщательно, как основные почтовые и финансовые аккаунты. Уникальный пароль для каждого сервиса ограничивает ущерб от отдельной утечки данных. Для командных аккаунтов следует отдавать предпочтение доступу на основе ролей, отзывать права доступа у бывших сотрудников и не допускать использования общих паролей. Для корпоративных брендов файлы дизайна, аккаунты в социальных сетях и рекламные кабинеты следует рассматривать как звенья одной цепи безопасности. Пользователям нужно регулярно проверять старые аккаунты Canva и аккаунты других инструментов для творчества, созданные с тем же адресом электронной почты. Использование менеджеров паролей, многоэтапной проверки, мониторинг сеансов и отслеживание доступа команд должны стать постоянной привычкой в обеспечении безопасности.

Если в LeakData появляется результат Canva, это означает, что адрес электронной почты включен в набор данных аккаунтов Canva за 2019 год. Этот результат не доказывает, что файлы дизайна или платежные данные пользователя были скомпрометированы; он ограничивается подтвержденным профилем риска и полями данных, относящимися к безопасности аккаунтов. Пользователю следует сначала проверить свой аккаунт Canva, затем, пароли, использовавшиеся в тот же период, и важные аккаунты, созданные с тем же адресом электронной почты. В первую очередь следует проверить почтовый аккаунт, социальные сети, панели управления брендом, облачные хранилища и инструменты совместной работы команды. Основной период инцидента (май 2019 года, а подтвержденная дата добавления) август 2019 года. Эта хронология позволяет избежать ошибочного отнесения инцидента к текущим событиям на экране «Безопасность аккаунтов» и помогает пользователю правильно расставить приоритеты.