Предполагаемое раскрытие данных ChessHere.com

На первый взгляд шахматные платформы могут показаться развлекательными сайтами с низким уровнем риска. Однако сочетание имени пользователя и пароля в открытом виде создаёт серьёзный риск для безопасности аккаунтов независимо от тематики платформы. Если пользователь использовал тот же пароль для электронной почты, игровых сервисов, социальных сетей или интернет-магазинов, злоумышленники могут попробовать его и в других системах. Поэтому последствия инцидента с ChessHere.com не ограничиваются безопасностью шахматных аккаунтов.

В этой записи к типам данных, которые можно подтвердить, относятся имена пользователей и пароли. Особенно важно утверждение о том, что пароли представлены в открытом виде. Такой пароль злоумышленник может использовать напрямую, без подбора по хешу, словарных атак или технического анализа. Имя пользователя, в свою очередь, можно сопоставить с именами, под которыми тот же человек зарегистрирован на других платформах.

Адреса электронной почты не включены в эту запись как подтверждённый тип данных. Это намеренное ограничение: чтобы не создавать у пользователя неверного представления о составе утечки, включены только поля, которые неоднократно упоминаются и имеют веские подтверждения. Если пользователь использовал на ChessHere.com то же имя пользователя, что и на других игровых форумах, в социальных сетях или шахматных сообществах, установить связь между аккаунтами может быть проще.

В современных системах пароли должны храниться в виде необратимых хеш-значений. При использовании стойких алгоритмов хеширования и уникальных значений соли даже после утечки базы данных злоумышленнику потребуется время, чтобы получить исходный пароль. Хранение паролей в открытом виде полностью лишает их этой защиты. Любой, кто увидит данные, сможет прочитать пароль, скопировать его и попробовать на других сервисах.

По этой причине для записи о ChessHere.com выбран высокий уровень серьёзности. Хотя перечень затронутых типов данных кажется небольшим, открытый вид пароля повышает риск. В частности, пользователи могли годами использовать одни и те же имена пользователей и пароли на старых игровых сайтах, форумах и площадках сообществ. Из-за этого данные из утечки 2017 года могут оставаться пригодными для атак и сегодня.

Перед добавлением новой записи существующие записи были проверены на дублирование по названиям ChessHere, chesshere.com и связанным вариантам названия. Поскольку ранее добавленной записи об утечке с тем же доменным именем или заголовком не было, запись была признана уникальной. Инцидент сочли заслуживающим включения в каталог, поскольку в открытых источниках тот же домен упоминается вместе с декабрём 2017 года, примерно полумиллионом записей и такими типами данных, как имена пользователей и пароли в открытом виде.

При этом подробного официального заявления оператора платформы, подтверждающего все детали, не обнаружено. Поэтому степень подтверждённости записи оставлена ограниченной. Это решение позволяет точно передать пользователю уровень достоверности сведений. В запись включены подтверждённые типы данных и согласующиеся сведения из открытых источников; неподтверждённые сведения об электронной почте, платежах, сообщениях или профилях, напротив, в описание не включены.

Если пароль от аккаунта ChessHere.com использовался и на других сервисах, прежде всего следует сменить его в этих аккаунтах. Главный приоритет, аккаунт электронной почты: получив к нему доступ, злоумышленник может воспользоваться процедурами сброса паролей других аккаунтов. Затем следует проверить игровые сервисы, социальные сети, форумы, интернет-магазины и платёжные аккаунты.

Раскрытие имени пользователя в сочетании с паролем создаёт дополнительный риск. Злоумышленник может поискать то же имя на разных платформах, найти другие аккаунты жертвы и попробовать тот же пароль или похожие варианты. Риск такого сопоставления особенно важен, поскольку в шахматных и игровых сообществах, а также на форумах люди часто сохраняют одно и то же имя пользователя.

• Пароль, использовавшийся в аккаунте ChessHere.com, следует сменить и на всех других сервисах, где он применялся.
• Следует также избегать вариаций, построенных по тому же шаблону пароля.
• Для аккаунта электронной почты следует включить двухэтапную проверку.
• Для каждого сервиса следует создать уникальный пароль с помощью менеджера паролей.
• Следует проверить старые аккаунты на форумах и игровых сервисах, созданные под тем же именем пользователя.
• Следует проверить активные сеансы и подключённые приложения.
• В течение некоторого времени следует внимательно следить за предупреждениями о подозрительных входах.

В игровых сообществах и сообществах по интересам пользователи часто годами пользуются одним и тем же никнеймом. Он может быть связан с социальными сетями, форумами, стриминговыми платформами, игровыми клиентами или начальной частью адреса электронной почты. Когда имя пользователя и пароль оказываются вместе в наборе данных утечки, злоумышленник пытается получить доступ не только к этой платформе, но и к другим связанным элементам цифровой идентичности пользователя.

Поэтому не стоит недооценивать значение раскрытого имени пользователя. Даже при отсутствии адреса электронной почты злоумышленник может сопоставить имя пользователя с помощью поисковых систем, форумов, игровых профилей и социальных сетей. Если тот же пароль используется где-то ещё, имя пользователя становится непосредственной отправной точкой для попыток входа. Пользователям также следует оценить безопасность паролей в аккаунтах, созданных под их старыми никнеймами.

Запись о ChessHere.com показывает, что небольшие и средние платформы сообществ должны соблюдать те же стандарты безопасности паролей, что и крупные платформы. Пароли никогда не должны храниться в открытом виде. Стойкие алгоритмы хеширования паролей, уникальные значения соли, безопасное управление сеансами, защита панели администратора и регулярные обновления безопасности, базовые требования.

Устаревшие программные компоненты, плагины форумов, панели администратора и файлы резервных копий часто становятся источниками риска на платформах сообществ. Резервные копии баз данных не следует хранить в корневом каталоге сайта; для аккаунтов администраторов необходимо использовать многофакторную аутентификацию, операции сброса паролей (журналировать, а подозрительные массовые выгрузки) отслеживать. При подозрении на утечку пароли пользователей необходимо принудительно сбросить.

Утечка, произошедшая в декабре 2017 года, сегодня может казаться давней, однако привычки при выборе паролей и имён пользователей сохраняются надолго. Многие создают новый пароль, добавляя к старому цифру, восклицательный знак или год. Злоумышленники проверяют такие шаблоны с помощью автоматизированных инструментов. Поэтому старый пароль в открытом виде всё ещё может пригодиться для атак на действующие аккаунты.

Кроме того, старые наборы данных можно объединять с новыми. В другой утечке может оказаться адрес электронной почты, связанный с тем же именем пользователя, в ещё одной (номер телефона, а на другой платформе) ссылка на профиль. Соединив эти фрагменты, злоумышленник может составить более полный профиль жертвы. Пользователям следует учитывать свой цифровой след в целом, а не только отдельные утечки.

Запись об утечке данных ChessHere.com описывает инцидент, который, по сообщениям, связан с платформой для игры в шахматы онлайн и затронул около 526 686 записей пользователей. Основные типы данных, о раскрытии которых сообщалось, имена пользователей и пароли в открытом виде. Такое сочетание повышает риск несанкционированного доступа к другим аккаунтам тех, кто повторно использует пароли. Адреса электронной почты и платёжные данные не включены в перечень типов данных, поскольку в рамках этой записи они не были подтверждены.

Запись не отмечена как подтверждённая, поскольку официального подтверждения из первоисточника нет. Тем не менее она добавлена, чтобы предупредить пользователей: доменное имя, дата, число записей и типы данных согласуются с общедоступными сведениями об инциденте. Пользователям ChessHere.com следует сменить старые пароли на всех сервисах, проверить аккаунты, связанные с их именем пользователя, и включить двухфакторную аутентификацию везде, где это возможно.

Первый шаг, вспомнить пароль, использовавшийся на ChessHere.com, и составить список всех аккаунтов с таким же или похожим паролем. Второй шаг, проверить настройки безопасности аккаунта электронной почты. Третий шаг, перейти на менеджер паролей и создать уникальный пароль для каждого аккаунта. Четвёртый шаг, выйти из старых аккаунтов на форумах и игровых сервисах.

Теперь пользователю следует закрыть аккаунты, которыми он больше не пользуется, или сменить в них пароли на уникальные, случайно сгенерированные. Забытые старые аккаунты могут стать слабым звеном, которым воспользуется злоумышленник. Особенно если использовалось то же сочетание имени пользователя и пароля: даже заброшенные аккаунты могут стать путём к другим аккаунтам. Поэтому старые площадки по интересам тоже следует включать в перечень аккаунтов для проверки безопасности.

Пароли на платформах по интересам, таких как ChessHere.com, часто относятся к аккаунтам, которые пользователь считает малорисковыми. Проблема в том, что тот же пароль от такого аккаунта пробуют и на более важных сервисах. Злоумышленники рассматривают старые записи с шахматных и игровых сайтов и форумов не изолированно, а объединяют их с актуальными адресами электронной почты, именами пользователей в социальных сетях и другими наборами данных. Поэтому, даже если старый аккаунт больше не используется, следует проверить, где ещё применяется тот же пароль.

Имя пользователя, тоже важная зацепка в этой цепочке. Под тем же никнеймом могут существовать профили на стриминговых платформах, игровых сервисах, форумах или в социальных сетях. Общедоступные сведения в этих профилях позволяют злоумышленнику готовить более убедительные сообщения. Помимо смены пароля, более надёжную защиту обеспечивают удаление лишних сведений из старых профилей с тем же именем пользователя и закрытие неиспользуемых аккаунтов.

Некоторые пользователи могут счесть риск по этой записи низким, поскольку раскрытие адреса электронной почты не подтверждено. Однако сочетания имени пользователя и пароля в открытом виде может быть достаточно, чтобы злоумышленник предпринял попытку входа. Найти адрес электронной почты может быть несложно, особенно если имя пользователя совпадает с начальной частью адреса или в том же виде используется на других платформах. Поэтому при оценке риска следует учитывать не только количество типов данных, но и то, что пароль представлен в открытом виде, а имя пользователя может использоваться повторно.