Утечка данных Color Dating

К подтверждённым категориям данных относятся тексты о себе, даты рождения, адреса электронной почты, сведения о географическом местоположении, имена, хеши паролей и фотографии профилей. В полях с информацией о себе могут быть указаны интересы пользователя, ожидания от отношений, личные предпочтения или произвольный текст, написанный для знакомства. Поля со свободным текстом несут больший риск, чем стандартные поля формы: пользователи могут неосознанно сообщить дополнительные сведения о своей работе, учебном заведении, городе проживания, аккаунте в социальной сети, личных привычках или семье.

В сочетании с адресом электронной почты имя и дата рождения могут использоваться для подбора ответов на контрольные вопросы, создания поддельных аккаунтов и попыток адресного мошенничества. Сведения о географическом местоположении, особенно в контексте приложений для знакомств, позволяют делать предположения о районе, где пользователь живёт или часто бывает. Фотографии профилей, в свою очередь, создают риски распознавания лиц, обратного поиска по изображению, сопоставления с аккаунтами в социальных сетях и создания поддельных профилей. Поэтому инцидент следует оценивать не только с точки зрения безопасности паролей, но и с учётом рисков для частной жизни и репутации.

Эта запись основана на 220 503 уникальных адресах электронной почты. Число строк в некоторых вторичных списках может отличаться, однако здесь объём данных, используемых для поиска пользователей, определяется по уникальным адресам электронной почты. Инцидент связан с утечкой Color Dating в сентябре 2018 года; согласно имеющимся сведениям, позднее эти данные вновь появились в составе более крупной подборки утечек. Поэтому, несмотря на давность инцидента, повторное распространение данных может сохранять актуальность рисков для пользователей.

Подтверждены следующие категории полей: текст о себе, дата рождения, адрес электронной почты, географическое местоположение, имя, пароль и фотография профиля. Поле пароля следует рассматривать как хеш, защищённый с помощью bcrypt; само по себе это утверждение не означает, что пароли опубликованы в расшифрованном виде. В этой записи данные платёжных карт и банковских счетов, номера паспортов и официальных удостоверений личности, содержимое личных сообщений и номера телефонов не относятся к подтверждённым категориям данных. Важно чётко обозначать эти ограничения, чтобы точно сообщать пользователю о реальных рисках, не вызывая ненужной паники.

Наибольшему риску подвержены пользователи, которые указали в аккаунте Color Dating настоящее имя, основной адрес электронной почты и регион проживания, а также разместили чёткую фотографию профиля. Поскольку сведения в приложениях для знакомств могут быть напрямую связаны с частной жизнью, пользователи могут столкнуться с целенаправленными попытками поставить их в неловкое положение, создать ложное чувство близости, выдать себя за них или применить методы социальной инженерии. Использование того же адреса электронной почты для работы, банковских услуг, социальных сетей или регистрации в других сервисах также упрощает злоумышленникам сопоставление разных аккаунтов.

Риск выше для пользователей, которые применяют тот же пароль и в других сервисах. Хотя формат хеша bcrypt усложняет задачу злоумышленника, слабые, короткие или ранее утёкшие пароли всё равно могут подвергаться атакам методом перебора. Пользователей, чьи даты рождения и местоположение известны, могут обмануть с помощью поддельных акций ко дню рождения, приглашений на местные мероприятия или сообщений, которые выглядят так, будто их отправили знакомые. Для пользователей с фотографией профиля следует также учитывать риск создания поддельного профиля в социальной сети или приложении для знакомств.

Пользователю, обнаружившему совпадение в этой записи, следует прежде всего сменить пароль Color Dating и пароли всех аккаунтов, где мог использоваться тот же пароль. Новый пароль должен быть уникальным для каждого сервиса, длинным и трудным для подбора. Для аккаунта электронной почты следует включить многофакторную аутентификацию, а также проверить недавние сеансы и правила пересылки писем. Если пользователь входит с тем же адресом электронной почты в аккаунты социальных сетей, магазинов, финансовых или рабочих сервисов, следует также просмотреть уведомления безопасности и записи о подозрительных сеансах в этих аккаунтах.

С учётом контекста приложения для знакомств особое внимание следует уделять входящим сообщениям. Сообщения, в которых упоминаются старые сведения из профиля, фотографии, дата рождения или район проживания, не следует автоматически считать достоверными, даже если они выглядят убедительно. Ссылки, присланные под предлогом встречи, проверки аккаунта, удаления фотографии, закрытия жалобы или восстановления доступа к сервису, нужно независимо проверить перед открытием. Не следует передавать личные фотографии, документы, удостоверяющие личность, коды подтверждения или финансовые сведения людям, которые их запрашивают.

Инцидент Color Dating показывает, что сведения профиля, опубликованные в приложениях для знакомств и поиска новых контактов, могут влиять на пользователя даже спустя годы. В таких приложениях пользователям не следует раскрывать избыточные сведения о настоящем имени, дате рождения, точном местоположении, месте работы, учебном заведении и аккаунтах в социальных сетях. При выборе фотографий профиля важно помнить: использование тех же изображений на других платформах может облегчить установление личности. Старые аккаунты следует закрыть или обновить, а объём сведений в профилях неиспользуемых приложений, по возможности свести к минимуму.

Управление паролями, важнейшая составляющая долгосрочной защиты. Уникальный пароль для каждого сервиса, создание надёжных паролей с помощью менеджера паролей и защита электронной почты дополнительной проверкой снижают риск цепной реакции при подобных утечках. Пользователям также следует периодически проверять, не появились ли поддельные профили с их именами, фотографиями и адресами электронной почты. Поскольку подтверждённые данные в этом инциденте особенно тесно связаны с частной жизнью, необходимо комплексно учитывать не только технические аспекты безопасности аккаунтов, но и репутацию в интернете и личную безопасность.

Совпадение в этой записи означает, что соответствующий адрес электронной почты входит в число уникальных адресов, обнаруженных в утечке Color Dating. Оно не обязательно означает, что все сведения профиля пользователя находятся в открытом доступе. Однако с учётом категорий данных, связанных с этой записью, пользователю следует проявлять осторожность в отношении текста о себе, имени, даты рождения, местоположения, фотографии профиля и безопасности пароля. Не следует откладывать меры, особенно если один и тот же адрес электронной почты и пароль используются в разных сервисах.

Пользователю следует сначала установить уникальные пароли, усилить защиту электронной почты и проверить наличие подозрительных входов. Затем необходимо пересмотреть общедоступные сведения в приложениях для знакомств и профилях социальных сетей. Такие сведения, как дата рождения, местоположение и фотография, следует удалить как избыточные, поскольку они повышают риск установления личности путём сопоставления данных. Хотя инцидент произошёл в 2018 году, последующее повторное распространение данных означает, что старые записи могут использоваться в актуальных попытках мошенничества.