Утечка данных ClickASnap

В инциденте ClickASnap основные риски для безопасности аккаунтов связаны с адресами электронной почты, именами пользователей и хешами паролей. Сочетание адреса электронной почты и имени пользователя позволяет идентифицировать пользователя, и злоумышленники могут использовать его для поиска аккаунтов, сброса паролей и целевых фишинговых атак. Хотя пароли представлены в виде хешей SHA-512, если пользователь выбрал короткий, предсказуемый пароль или пароль, уже используемый на другом сервисе, со временем его можно подобрать по хешу. Поэтому повторное использование паролей, один из наиболее существенных практических рисков этого инцидента.

Такие сведения из записей о платных подписках, как имя, физический адрес и уплаченная сумма, создают отдельную группу рисков. По ним можно понять, какому автору контента пользователь платит на платформе или какую подписку оформил. Эти сведения могут использоваться в поддельных сообщениях о платежах, продлении подписок, подтверждении доходов, налоговых формах, выплатах за проданные фотографии или проверке аккаунта. Профили в социальных сетях также могут помочь связать профиль пользователя как фотографа с другими его профилями в интернете. Это создаёт риск для конфиденциальности, особенно для авторов контента, работающих под псевдонимом.

Подтверждённое число затронутых аккаунтов в этой записи составляет 3 262 980. Датой инцидента указано 24 сентября 2022 года. Подтверждены следующие поля: адреса электронной почты, имена пользователей, хеши паролей, имена, физические адреса, записи о покупках и подписках, а также профили в социальных сетях. Важно отдельно отметить, что сведения об имени, адресе и уплаченной сумме могут относиться только к записям о платных подписках. Не следует предполагать, что эти поля есть у каждого пользователя. Обычный пользовательский аккаунт и запись о платной подписке нельзя считать одинаковыми по составу затронутых данных.

В этой записи нет подтверждённых категорий данных, относящихся к фотографиям, метаданным фотографий, номерам платёжных карт, банковским сведениям, официальным документам, удостоверяющим личность, или непосредственно к остаткам заработанных средств на платформе. Даже если в некоторых более общих описаниях упоминаются дополнительные поля, перечень категорий данных этой записи должен ограничиваться теми полями, наличие которых можно подтвердить. Вместо широкого утверждения вроде «произошла утечка финансовой информации» точнее будет объяснить пользователю, что «в записях о подписках или покупках содержалась уплаченная сумма».

Наибольшему риску подвержены пользователи, которые используют пароль от своего аккаунта ClickASnap и на других платформах. В первую очередь следует проверить аккаунты в фотосообществах, социальных сетях и электронной почте, а также уведомления о платежах. Люди, использующие одно и то же имя пользователя на нескольких фотосайтах или в профилях социальных сетей, в большей степени подвержены риску сопоставления профилей. Если имя пользователя доступно вместе со сведениями о профилях в социальных сетях, злоумышленник может найти того же человека на разных платформах.

Пользователи платных подписок и авторы контента также более уязвимы к атакам с поддельными уведомлениями о платежах, заработке, продлении подписок и налогах. Для людей, чей физический адрес содержится в записи, сообщения о проверке адреса, отправке посылки, счёте на оплату или подписке могут выглядеть убедительнее. Для профессиональных и полупрофессиональных фотографов важен и риск для конфиденциальности: наличие настоящего имени, адреса и профиля в социальной сети в одной записи может связать их творческий образ в интернете со сведениями о них в реальной жизни.

Следует сменить пароль от аккаунта ClickASnap. Если тот же или похожий пароль использовался в других аккаунтах, для каждого из них также нужно установить отдельный надёжный пароль. Приоритет следует отдать электронной почте, профилям в социальных сетях, сайтам для обмена фотографиями, уведомлениям о платежах и облачным хранилищам. Менеджер паролей упрощает создание уникального пароля для каждого сервиса. Хеширование SHA-512 не делает повторное использование слабого пароля безопасным.

Пользователям следует проверить подключённые приложения и сеансы в своих аккаунтах в социальных сетях. Неизвестные подключения нужно удалить, а многофакторную аутентификацию, включить. Следует внимательно проверять ссылки в сообщениях, связанных с ClickASnap, продажей фотографий, подписками, выплатой доходов, уведомлениями об авторских правах или проверкой аккаунта. Хотя номер платёжной карты не относится к подтверждённым полям этой записи, сообщения с запросом данных карты или банковских реквизитов следует считать высокорисковыми. Если требуется провести операцию, необходимо самостоятельно перейти на платформу по известному адресу.

Безопасность аккаунтов на платформах для авторов контента не ограничивается защитой паролей: сведения о реальной личности, контекст платежей и ссылки на профили в социальных сетях следует рассматривать в совокупности. В долгосрочной перспективе пользователям следует использовать разные пароли для аккаунтов на сайтах обмена фотографиями, площадках продаж, в социальных сетях и электронной почте. Тем, кто работает под псевдонимом, следует указывать настоящее имя и адрес только в обязательных полях и не оставлять лишнюю личную информацию в общедоступных профилях. Старые записи о подписках и платежах следует регулярно проверять.

Платформам необходимо обеспечить отдельные уровни защиты для данных о платных подписках и авторах контента. Когда в рамках одного инцидента раскрываются пользовательские данные, сведения о суммах платежей и ссылки на профили в социальных сетях, злоумышленники могут создавать более убедительные сценарии атак. Поэтому права доступа, механизмы контроля экспорта данных, способы хранения паролей и процессы уведомления об инцидентах следует регулярно проверять. Пользователям также стоит воспринимать свои аккаунты в фотосообществах не как малорисковые аккаунты для хобби, а как аккаунты, связанные с их личным брендом и источником дохода.

Совпадение в этой записи означает, что соответствующий адрес электронной почты относится к аккаунтам, связанным с утечкой данных ClickASnap. Совпадение не означает, что платёжная карта, банковский счёт или файлы фотографий пользователя входят в подтверждённый объём данных этой записи. Риск связан с такими полями, как адрес электронной почты, имя пользователя, хеш пароля, профиль в социальной сети, а в некоторых записях о платных подписках, также имя, адрес и уплаченная сумма. В первую очередь пользователю следует отказаться от повторного использования паролей и защитить свой почтовый аккаунт.

Следующий шаг, проверить подключения в профилях социальных сетей и аккаунтах на платформах для авторов контента. Неизвестные сеансы следует завершить, подключённые приложения (удалить, а многофакторную аутентификацию) включить. Не следует выполнять действия по сообщениям о подписках или платежах без проверки через официальный канал. Пользователям, чьи физические адреса могли попасть в записи о платных подписках, следует остерегаться поддельных сообщений о счетах на оплату, доставке или проверке аккаунта.