Утечка данных Chowbus

В аккаунте Chowbus имя, адрес электронной почты, номер телефона и физический адрес могут быть доступны вместе. Эти четыре поля позволяют злоумышленнику напрямую обращаться к пользователю с персонализированными сообщениями. Физический адрес особенно важен в контексте доставки еды и местных ресторанов, поскольку пользователи привыкли получать сообщения о доставке, заказах, курьерах, возвратах и проверке адреса. Из-за этой привычки поддельные сообщения могут казаться убедительнее. Номер телефона, в свою очередь, повышает риск мошенничества через текстовые сообщения и звонки.

Поскольку в этом инциденте утечка паролей и данных платёжных карт не подтверждена, оснований для обязательной смены пароля меньше, чем при утечках учётных данных. Однако ссылки в сообщениях по электронной почте и на телефоне могут вести пользователей на поддельные страницы входа. Сообщения, составленные с использованием имени и адреса, могут выглядеть как настоящие уведомления о доставке. Если из других источников будут получены дополнительные сведения, например название ресторана, информация о регионе или привычках пользователя при заказе доставки, атаку можно сделать ещё более персонализированной. Поэтому, несмотря на ограниченный перечень подтверждённых полей, риск реален, а такие атаки вполне осуществимы.

Подтверждённое число затронутых аккаунтов в этой записи: 444 224, по количеству уникальных адресов электронной почты. Сообщалось, что более крупный набор данных, связанный с инцидентом, содержал свыше 800 000 записей о клиентах. Это число не следует считать количеством уникальных пользователей: оно может включать дубликаты или разные строки, относящиеся к одному человеку. В связи с инцидентом Chowbus также упоминались данные ресторанов, однако в данной записи категории пользовательских данных ограничены именем, адресом электронной почты, номером телефона и физическим адресом.

Границы подтверждённого охвата важно обозначить особенно чётко. В этой записи не подтверждено раскрытие паролей, данных платёжных карт, банковских счетов, официальных идентификационных номеров, содержимого заказов, истории платежей или предпочтений в еде. Наличие физического адреса означает, что пользователь может стать целью атак, связанных с его местоположением и доставкой. Однако это не означает, что платёжная информация была скомпрометирована. Описание должно ясно показывать реальные риски, связанные с контактными данными и адресом, не вызывая у пользователя неоправданной паники.

Наибольшему риску подвержены пользователи, которые передавали Chowbus свой адрес доставки и номер телефона. Они могут получать поддельные сообщения о статусе доставки, проверке адреса, связи с курьером, купонах ресторанов или возвратах. Когда адрес электронной почты и номер телефона присутствуют в одной записи, злоумышленник может использовать несколько каналов связи. Если сначала отправить письмо, а затем текстовое сообщение или позвонить, мошенническое обращение может выглядеть более правдоподобно.

Пользователи, которые часто пользуются услугами местных ресторанов, могут быть более восприимчивы к региональным акциям и сообщениям о заказах. Раскрытие физического адреса создаёт риск для конфиденциальности, особенно если это домашний адрес. Для организаций также важно учитывать, что сотрудники, использующие платформы доставки еды со своими личными номерами телефонов и адресами электронной почты, могут получать сообщения с элементами социальной инженерии в рабочее время или на рабочих устройствах. Поэтому утечку, которая на первый взгляд касается лишь личного аккаунта, следует рассматривать и с точки зрения безопасности организации.

Пользователям не следует сразу переходить по ссылкам в письмах и текстовых сообщениях, связанных с Chowbus или доставкой еды. Даже если уведомление о статусе доставки, возврате средств, проверке адреса или купоне кажется настоящим, соответствующую операцию нужно проверить в официальном приложении или на сайте с известным доменом. Даже если звонящий представляется курьером, сотрудником ресторана или службы поддержки, ему нельзя сообщать одноразовые коды, пароли, платёжные сведения или дополнительные персональные данные. То, что он правильно называет имя и адрес, не доказывает, что звонку можно доверять.

Если пароль от аккаунта Chowbus используется и в других сервисах, его следует сменить. Даже если раскрытие пароля не входит в подтверждённый перечень данных, повторное использование паролей всегда создаёт отдельный риск. Уведомления о безопасности почтового аккаунта следует оставлять включёнными и отслеживать неожиданные входы. Для аккаунтов, связанных с номером телефона, лучше использовать приложение для подтверждения входа, а не полагаться только на подтверждение через SMS. Также следует осторожнее относиться к сообщениям об отправке, доставке и оплате, в которых указан адрес пользователя.

Платформы доставки еды и местных услуг часто используются в повседневной жизни, но при этом хранят большой объём адресных и контактных данных. В долгосрочной перспективе пользователям следует удалять ненужные старые адреса, закрывать неиспользуемые аккаунты на таких платформах и по возможности не оставлять лишние персональные сведения в примечаниях к доставке. Отдельный адрес электронной почты для уведомлений об акциях и заказах поможет лучше защитить основной почтовый аккаунт. Если без предоставления номера телефона не обойтись, следует проявлять повышенную осторожность при получении звонков и сообщений от неизвестных отправителей.

Для операторов платформ этот инцидент показывает, как быстро можно потерять доверие пользователей, когда клиентские данные выгружаются в файлы большими массивами. Права доступа, обмен файлами, выгрузка клиентских данных и порядок уведомления после инцидента должны строго контролироваться. Организациям также следует объяснять сотрудникам, что поддельные сообщения о доставке, курьерах, ваучерах на питание и проверке адреса могут использоваться для фишинга. В обучение стоит включать сообщения на повседневные темы, поскольку они могут вызывать меньше подозрений, чем привычные уведомления якобы от банка или почтового сервиса.

Совпадение с этой записью означает, что соответствующий адрес электронной почты присутствует в списке уникальных адресов, связанном с утечкой данных Chowbus. Совпадение не означает, что пароли или данные платёжных карт входят в подтверждённый объём раскрытых данных для этой записи. Подтверждённый риск ограничен полями имени, адреса электронной почты, номера телефона и физического адреса. Пользователям следует учитывать, что эти сведения могут использоваться в мошеннических сценариях под видом доставки или обращения службы поддержки.

Первый практический шаг, проверить контактные данные и адреса в аккаунте Chowbus, удалить ненужные старые адреса и установить уникальный пароль. Затем сообщения о доставке, полученные по электронной почте и телефону, следует проверять через официальный канал. Если личные адреса могли быть раскрыты, пользователю следует осторожно относиться к неожиданным обращениям по поводу доставки с оплатой при получении, возвратов или курьерских услуг. Даже если риск не связан непосредственно с утечкой данных платёжной карты, мошенничество с использованием адреса и социальную инженерию следует считать реальными угрозами.