Утечка данных Condo.com

Подтверждённые типы данных, адреса электронной почты, имена, номера телефонов и физические адреса. Адрес электронной почты может использоваться для сопоставления с другими онлайн-аккаунтами пользователя. Имена и номера телефонов полезны для звонков от имени поддельной службы поддержки, сообщений о проверке объявлений, обращений от людей, выдающих себя за агентов по недвижимости, или попыток перенаправить платежи. Записи с физическим адресом позволяют получить более прямые сведения о месте, где пользователь живёт или которым интересуется.

Наличие паролей в этой записи не подтверждено, поэтому основные риски связаны с фишингом, телефонным мошенничеством и социальной инженерией на тему недвижимости, а не с паролями аккаунтов. Сочетание имени, адреса электронной почты и номера телефона даёт достаточно возможностей связаться с человеком. Если злоумышленник предполагает, что пользователь ищет жильё, планирует его арендовать или купить либо интересуется квартирами, он может адаптировать сообщения к этому контексту. Такие сообщения могут быть убедительнее обычной рекламы или массового фишинга.

Эта запись охватывает 1 481 555 затронутых аккаунтов; датой инцидента указано 1 июня 2019 года. По имеющимся сведениям, позднее данные вновь появились в обороте в составе более крупной подборки утечек. Это означает, что, хотя инцидент произошёл давно, адреса электронной почты и номера телефонов могут повторно использоваться в актуальных списках для мошенничества. Охват записи следует оценивать по числу уникальных аккаунтов; не стоит предполагать, что каждая строка представляет актуальный, активный или полный профиль пользователя.

Подтверждены поля с адресом электронной почты, именем, номером телефона и, в небольшом числе записей, физическим адресом. Наличие паролей, данных платёжных карт, банковских счетов, номеров социального страхования, дат рождения, документов, удостоверяющих личность, или документов по сделкам с недвижимостью в этой записи не подтверждено. Кроме того, поле физического адреса встречается не во всех записях, а лишь в небольшой их части. Это важное различие: объясняя пользователю реальный риск, важно не преуменьшать значимость контактных данных и одновременно не представлять неподтверждённые типы данных так, будто они присутствуют в утечке.

Наибольшему риску подвержены люди, которые указали на Condo.com своё настоящее имя, основной адрес электронной почты и действующий номер телефона. Пользователи, ищущие недвижимость, обычно принимают решения, связанные с крупными суммами: о переезде, инвестициях, аренде или покупке. Поэтому злоумышленники могут обращаться к ним под видом консультаций, с фиктивными объявлениями, инструкциями по перенаправлению залоговых платежей, предложениями предварительного одобрения кредита, требованиями оплатить оценку недвижимости, уведомлениями о плате за обслуживание или предложениями услуг по переезду.

Для пользователей, в записях о которых также есть физический адрес, риск становится более персонализированным. Если адрес указан верно, злоумышленник может попытаться вызвать доверие к сообщению, упоминая район, здание, доставку, обслуживание, подписки или объявления управляющей организации. Пользователи с указанным номером телефона могут стать непосредственной целью сообщений и звонков. Для тех, кто зарегистрировался с рабочим адресом электронной почты, также существует риск корпоративного фишинга: сообщения о недвижимости и управлении объектами могут выглядеть уместно в рабочей среде.

Если вы обнаружили совпадение в этой записи, прежде всего будьте осторожны с сообщениями на тему недвижимости, поступающими по электронной почте и телефону. Не следует сразу доверять неожиданным предложениям объектов недвижимости, просьбам внести залог, инструкциям по срочной оплате, ссылкам на заявки на кредит, файлам с договорами аренды или сообщениям о проверке аккаунта. Если вы планируете сделку с недвижимостью, независимо проверьте личность другой стороны, источник объявления, платёжные реквизиты и канал связи.

Включите многофакторную аутентификацию в аккаунте электронной почты и проверьте сеансы на наличие подозрительной активности. Даже если наличие паролей в этой записи не подтверждено, почтовый аккаунт может стать основной целью мошеннических сообщений. Не следует передавать другим одноразовые коды, отправленные на ваш номер телефона, запросы на предоставление документов, удостоверяющих личность, инструкции по внесению залога или запросы на удалённый доступ. Пользователям, чей физический адрес мог попасть в утечку, также следует считать подозрительными сообщения под предлогом проверки адреса или доставки.

Инцидент Condo.com показывает, что раскрытие контактной информации может иметь серьёзные последствия для безопасности и конфиденциальности, даже если среди данных нет пароля. По возможности пользователям следует использовать отдельные адреса электронной почты или средства маскировки адреса для сервисов недвижимости, объявлений, подписок и покупок. Номер телефона стоит сообщать только тогда, когда это обязательно; в таком случае нужно учитывать возможность рекламных, мошеннических и фишинговых сообщений в будущем. Физический адрес следует указывать лишь для операций, в которых он действительно необходим.

В долгосрочной перспективе пользователям стоит проверить старые аккаунты на сервисах недвижимости и профили с объявлениями. Неиспользуемые аккаунты следует закрыть, объём общедоступной информации в профилях, сократить, а также следить за тем, в каких сервисах регистрация выполнена с одними и теми же контактными данными. Поскольку сделки с недвижимостью связаны с крупными суммами, никогда не следует проводить платежи только на основании инструкций, полученных по электронной почте или в текстовом сообщении. Лицензию другой стороны, принадлежность объявления, банковские реквизиты и условия договора нужно проверять по отдельным каналам.

Наличие совпадения в этой записи означает, что соответствующий адрес электронной почты входит в число записей, связанных с утечкой Condo.com. Совпадение указывает на то, что подтверждённый состав данных ограничен контактными и идентификационными сведениями; пароли и платёжная информация не входят в число подтверждённых типов данных этой записи. Однако сочетания адреса электронной почты, имени и номера телефона может быть достаточно для создания сообщений, которые выглядят индивидуально составленными для пользователя. Поэтому осторожность необходима, даже если запись старая.

В первую очередь пользователю следует защитить свой почтовый аккаунт, проверять неожиданные сообщения о недвижимости и переезде через отдельный канал связи и не выполнять поступившие по телефону просьбы об оплате или предоставлении данных для подтверждения личности. Тем, кто считает, что их физический адрес может быть известен посторонним, стоит внимательно проверять сообщения о доставке, обслуживании, управлении зданием или подписках. При сделках с недвижимостью до перевода любых денежных средств необходимо проверить объявления, людей, компании и банковские реквизиты через независимые источники.