CloudPets Утечка данных

К основным подтверждённым категориям данных относятся адреса электронной почты, имена членов семьи и пароли. Сообщалось, что поле пароля содержало хеш bcrypt; это не означает, что каждый пароль хранился в непосредственно читаемом виде. Тем не менее слабые пароли и пароли, используемые повторно, создают риск. Источники также указывают, что по всей системе были раскрыты ссылки на фотографии и голосовые записи, связанные с профилями детей. Этот дополнительный контекст делает инцидент CloudPets более чувствительным, чем утечка обычных списков аккаунтов.

Когда имена детей, сведения о семейных связях и содержание голосовых сообщений оказываются вместе, риск не ограничивается фишингом или захватом аккаунта. Имена членов семьи могут использоваться для завоевания доверия при социальной инженерии. Голосовые записи и ссылки на фотографии профилей, в свою очередь, следует рассматривать как данные, непосредственно затрагивающие частную жизнь детей. Поэтому инцидент связан с высоким риском поддельных сообщений от службы поддержки, адресованных семьям, уведомлений об обновлении игрушек, запросов на восстановление аккаунта и попыток манипуляции, связанных с профилем ребёнка.

Указанное в этой записи число аккаунтов, 583 503, отражает количество записей, которые можно проверить по адресу электронной почты. Общий объём данных в системе с открытым доступом, затронутой инцидентом, больше: он связан с более чем 821 000 записей об аккаунтах. Эти два числа не следует путать. Найденное совпадение означает, что соответствующий адрес электронной почты присутствует в данных аккаунтов CloudPets, доступных для проверки; дополнительные ссылки на файлы в системе необходимо оценивать отдельно.

К подтверждённым полям данных относятся адреса электронной почты, имена членов семьи, хеши паролей, а также находившиеся в системе ссылки на изображения и аудиосообщения, связанные с профилем ребёнка. Данные платёжных карт, банковских счетов, номера официальных документов, удостоверяющих личность, физические адреса и сведения о здоровье не относятся к подтверждённым категориям данных. Хотя компания отрицала непосредственную кражу аудиозаписей, независимые исследования показали, что архитектура системы позволяла выявить пути доступа к файлам записей и что в связи с этими данными выдвигались требования выкупа.

Наибольшему риску подвергаются родители, создавшие аккаунт CloudPets, семьи, добавившие профиль ребёнка, и люди, использовавшие тот же пароль в других аккаунтах. Сочетание адреса электронной почты и имени члена семьи позволяет злоумышленникам составлять более убедительные сообщения. Например, сообщения под видом обновления игрушки, восстановления голосовых сообщений, проверки профиля ребёнка или предупреждения о безопасности родительского аккаунта могут побудить пользователя перейти по ссылке или сообщить свой пароль.

Из-за наличия имён детей и контекста голосовых сообщений риск затрагивает всю семью. Даже если аккаунт родителя кажется защищённым, имя ребёнка или сведения о семейных связях могут быть использованы во вред. Пользователи, которые выбирают слабые пароли или используют один и тот же пароль для электронной почты, социальных сетей, покупок и игр, подвергаются повышенному риску захвата аккаунтов. Кроме того, даже если старый аккаунт игрушки давно забыт, использовавшееся тогда сочетание адреса электронной почты и пароля может по-прежнему действовать в других сервисах.

Если вы обнаружили совпадение в этой записи, смените пароль, который использовали для CloudPets, а также пароли всех аккаунтов, где использовался тот же или похожий пароль. В первую очередь следует защитить электронную почту, включить многофакторную аутентификацию и проверить недавние сеансы. Если в других аккаунтах вы продолжаете использовать старый пароль с небольшими изменениями, полностью откажитесь от всей этой группы похожих паролей. Менеджер паролей помогает как создавать уникальные пароли, так и отслеживать старые.

Семьям следует с осторожностью относиться к неожиданным сообщениям, в которых фигурируют имя ребёнка, аккаунты игрушек, голосовые сообщения или фотографии профиля. Не открывайте напрямую ссылки, предлагающие восстановить аккаунт CloudPets, скачать голосовые записи, удалить профиль ребёнка, возобновить подключение игрушки или пройти проверку безопасности. Если необходимо выполнить какие-либо действия, введите известное доменное имя сервиса вручную либо проведите проверку через доверенный канал. Не передавайте сведения тем, кто запрашивает имя ребёнка, его фотографию, голосовую запись или данные аккаунта.

Инцидент CloudPets показывает, насколько чувствительными для частной жизни семьи могут быть данные, собираемые подключёнными игрушками. Семьям следует предоставлять как можно меньше информации при использовании подключённых к интернету игрушек, детских приложений и аккаунтов умных устройств. Настоящее имя ребёнка, дату рождения, фотографию, голосовую запись и сведения о семейных связях следует использовать только при необходимости и при понимании действующих мер защиты. Неиспользуемые аккаунты игрушек и детских приложений следует закрыть либо сократить объём сведений в их профилях.

В долгосрочной перспективе при выборе устройств для детей родителям следует учитывать хранение данных, разрешения на подключение, безопасность аккаунтов и поддержку производителя. Если устройство использует микрофон, камеру, Bluetooth или интернет-соединение, необходимо выяснить, где хранятся собранные данные и как их можно удалить. После раскрытия данных ребёнка их нельзя легко изменить, как пароль; поэтому подход к защите должен включать не только реагирование на инцидент, но и выбор устройств и стратегию минимизации данных.

Наличие совпадения в этой записи означает, что соответствующий адрес электронной почты входит в число аккаунтов, доступных для проверки в связи с утечкой данных CloudPets. Такое совпадение требует мер по защите электронной почты, имени члена семьи и пароля; масштаб раскрытия дополнительных ссылок на файлы в системе необходимо оценивать отдельно. Поскольку инцидент связан с данными детей и семей, оценка риска должна охватывать не только владельца аккаунта, но и неприкосновенность частной жизни детей в семье.

Прежде всего вам следует сделать пароли уникальными, усилить защиту электронной почты и рассмотреть возможность закрытия старых аккаунтов игрушек или детских приложений. Сообщения, в которых фигурируют имя ребёнка, голосовая запись, аккаунт игрушки или фотография профиля, не следует принимать на веру без проверки через отдельный канал. Даже если инцидент произошёл давно, данные о семейных связях и профиле ребёнка могут создавать долгосрочный риск социальной инженерии. Поэтому при обнаружении совпадения меры по обеспечению безопасности и защите конфиденциальности следует считать первоочередными.