CashCrate Утечка данных

В случае CashCrate подтверждено раскрытие адресов электронной почты, имён, адресов проживания и паролей. Раскрытие адреса электронной почты вместе с именем делает адресные фишинговые сообщения более убедительными. Адрес проживания, в свою очередь, расширяет риски за пределы безопасности онлайн-аккаунтов: на основе местоположения пользователя и сведений, связанных с доставкой, можно составлять поддельные уведомления о доставке, вознаграждениях, розыгрышах, налогах или платежах. Эти данные могут использоваться для социальной инженерии даже спустя годы, особенно если пользователь долго живёт по одному адресу.

Наиболее опасная особенность инцидента состоит в том, что часть паролей представлена в открытом виде, а другая часть, в виде слабых хешей MD5. Пароль в открытом виде позволяет злоумышленнику пытаться войти в разные сервисы без необходимости что-либо расшифровывать. Быстро вычисляемые слабые алгоритмы хеширования, такие как MD5, также не обеспечивают достаточной защиты от современных инструментов атак. Если пользователь применял тот же пароль для электронной почты, интернет-магазина, социальной сети, платёжного сервиса или рабочего аккаунта, под угрозой могут оказаться и другие аккаунты, помимо CashCrate.

Подтверждённое число затронутых аккаунтов в этой записи: 6 844 490. Датой инцидента считается ноябрь 2016 года, а публично об утечке стало известно в 2017 году. Подтверждённые категории данных ограничиваются именем, адресом электронной почты, адресом проживания и паролем. В общедоступных сведениях отмечалось, что пароли некоторых аккаунтов хранились в открытом виде, а для более новых аккаунтов использовались хеши MD5. Поэтому при оценке безопасности паролей необходимо учитывать оба варианта.

Такие поля, как номер телефона, дата рождения, данные платёжной карты, банковского счёта, номер официального удостоверения личности или ответы на опросы, не включены в категории данных этой записи, поскольку для них нет столь же надёжных подтверждений. Поскольку раскрытие адресов проживания подтверждено, его следует рассматривать как отдельную категорию рисков для безопасности пользователей. Кроме того, число затронутых аккаунтов не подтверждает ни общий размер пользовательской базы платформы за всё время её существования, ни то, что каждая строка соответствует отдельному человеку. Приведённое здесь число отражает объём подтверждённых аккаунтов.

Наибольшему риску подвержены пользователи, которые применяют пароль от аккаунта CashCrate и на других платформах. Особенно опасно использовать тот же или похожий пароль для электронной почты: если почтовый аккаунт будет скомпрометирован, через ссылки для сброса пароля можно получить доступ к другим аккаунтам. Если тот же пароль использовался в интернет-магазинах, платёжных сервисах или социальных сетях, злоумышленник в первую очередь попробует войти именно туда. Если в утечку также попал адрес проживания, он может придать мошенническим сообщениям более персонализированный вид.

Во вторую группу риска входят пользователи, которые в силу своих привычек могут быстрее реагировать на сообщения о вознаграждениях, опросах, акциях и доставке. Пользователям платформ с вознаграждениями, таких как CashCrate, могут быть привычны уведомления о выплатах, результатах розыгрышей, доставке отправлений или подтверждении аккаунта. Злоумышленники могут воспользоваться этим ожиданием, отправляя поддельные ссылки, вредоносные файлы или формы с запросом личных данных. Сопоставление одних и тех же имён и адресов с разными наборами данных позволяет составить более подробный профиль пользователя как в интернете, так и вне его.

Пароль, использовавшийся в CashCrate, не следует считать безопасным. Прежде всего вам следует определить все аккаунты, в которых использовался тот же пароль, и создать для каждого уникальный, длинный и трудный для подбора пароль. Особое внимание стоит уделить электронной почте, платёжным сервисам, интернет-магазинам и социальным сетям. Чтобы не использовать пароли повторно, следует пользоваться менеджером паролей. Не стоит возвращаться к прежним паролям, лишь немного изменив их: злоумышленники могут проверять и новые пароли, построенные на основе старого.

Включите многофакторную аутентификацию для почтового аккаунта и проверьте недавние сеансы, адреса электронной почты и номера телефонов для восстановления доступа, а также подключённые приложения. Из-за раскрытия адресов проживания следует с осторожностью относиться к сообщениям о доставке, вознаграждениях, розыгрышах, выплатах за опросы или возврате налогов. Ни одна платформа не должна запрашивать ваш пароль по электронной почте. Не переходите напрямую по неожиданно полученным ссылкам: самостоятельно вводите адрес нужного сервиса в браузере. Не выполняйте действия по подозрительным уведомлениям о платежах или доставке, не проверив их через официальные каналы.

Инцидент с CashCrate показывает, что сведения, хранящиеся на платформах вознаграждений и опросов, также представляют большую ценность. В долгосрочной перспективе пользователям следует применять отдельный пароль для каждого сервиса, закрывать неиспользуемые аккаунты и не хранить на платформах больше личных данных, чем необходимо. Такие сведения, как адрес проживания, стоит предоставлять только при реальной необходимости. Если закрыть аккаунт невозможно, следует удалить из профиля ненужные сведения и установить уникальный пароль. Отдельный адрес электронной почты для сервисов опросов и вознаграждений позволит лучше защитить основной почтовый аккаунт.

С точки зрения корпоративной безопасности повторное использование личных паролей также требует серьёзного внимания. Сотрудникам не следует использовать в рабочих аккаунтах пароли от личных аккаунтов на других платформах. Организации могут снизить этот риск с помощью политик, поддерживающих многофакторную аутентификацию, выявление рискованных входов, проверку паролей на наличие в утечках и использование менеджеров паролей. При обучении пользователей основам безопасности следует объяснять, что угрозы связаны не только с утечками данных крупных социальных сетей: даже, казалось бы, небольшие платформы вознаграждений и опросов могут стать слабым звеном в безопасности аккаунтов.

Совпадение с адресом электронной почты в этой записи указывает на то, что этот адрес присутствует в подтверждённом списке аккаунтов, затронутых утечкой CashCrate. Совпадение не означает, что все аккаунты пользователя скомпрометированы в настоящее время. Однако если пароль из утечки использовался и в других сервисах, риск может сохраняться. Первым шагом следует попытаться вспомнить пароль, использовавшийся в CashCrate, и сменить пароли во всех аккаунтах, где мог применяться тот же пароль. Если вспомнить пароль не удаётся, прежние шаблоны паролей, использовавшиеся в 2016 году, также следует считать рискованными.

Пользователям следует внимательнее оценивать сообщения, в которых указаны их имя, адрес электронной почты и адрес проживания. Уведомления о доставке, вознаграждениях или платежах, выглядящие подлинными, тоже могут оказаться поддельными. После смены паролей следует отслеживать предупреждения безопасности, а при получении неожиданных уведомлений о входе, завершить все сеансы в соответствующем аккаунте. Долгосрочные последствия этого инцидента обусловлены прежде всего повторным использованием паролей. Поэтому однократную смену пароля не следует считать достаточной мерой: для всех важных аккаунтов необходимо использовать уникальные пароли и многофакторную аутентификацию.