Утечка данных Couchsurfing (2020)

В образце, изученном в то время, и в сообщениях того периода среди выставленных на продажу данных были выявлены адреса электронной почты, настоящие имена, ID пользователей и настройки аккаунтов. Отдельно сообщалось, что паролей в продаваемом наборе не было, поэтому в описании этого инцидента нельзя утверждать, что были раскрыты хеши паролей, пароли в открытом виде или данные, позволяющие непосредственно войти в аккаунт. Надёжные свидетельства также не подтверждают наличия в наборе телефонных номеров, данных платёжных карт, личных сообщений, документов, удостоверяющих личность, точных местоположений, истории поездок или текстов профилей. Однако сочетание адреса электронной почты, имени и ID пользователя на платформе может помочь злоумышленникам проводить целевой фишинг, рассылать спам и поддельные сообщения от службы поддержки, а также сопоставлять данные с профилями из открытых источников. Около 17 миллионов, это заявленное продавцом число записей аккаунтов, а не полностью проверенное количество уникальных людей.

Набор данных появился в начале июля 2020 года: сначала в закрытых каналах обмена сообщениями, а затем на публичных криминальных форумах. Продавец утверждал, что записи были получены с серверов Couchsurfing, и предлагал набор за US$700. Небольшой образец, предоставленный журналистам, освещающим вопросы безопасности, содержал ID пользователей, настоящие имена, адреса электронной почты и поля настроек аккаунтов. Компания заявила, что привлекла внешнюю фирму по кибербезопасности для расследования и обратилась в правоохранительные органы. Ни один общедоступный итоговый отчёт об инциденте не установил точную дату получения доступа и не подтвердил способ проникновения. Одним из возможных источников назывался ошибочно размещённый файл резервной копии, но это была версия, а не доказанная первопричина. Поэтому в описании инцидента указан период, начало июля 2020 года, без претензии на точность до конкретного дня. Структурированные поля аккаунтов Couchsurfing отличают эти материалы от общей подборки учётных данных, однако отсутствие убедительного публичного подтверждения требует сохранять оговорки в описании.

Наибольшему риску раскрытия данных подвержены люди, у которых был аккаунт Couchsurfing до 2020 года и которые использовали настоящее имя вместе с основным адресом электронной почты. Зная платформу, факт наличия аккаунта и ID пользователя, злоумышленник может составить убедительные уведомления о безопасности, плате за членство, проверке профиля, запросах на проживание или сообщениях о поездках. Отсутствие паролей в описанном наборе данных не исключает риск захвата аккаунта: злоумышленники всё ещё могут использовать электронную почту, чтобы похитить ссылку для сброса пароля, запросить одноразовый код или направить пользователя на поддельную страницу входа. Если тот же адрес электронной почты используется в других сервисах, записи могут помочь сопоставить профили и разработать мошеннические схемы, нацеленные на конкретного человека. Старые сведения о личности могут придавать мошенническим сообщениям убедительность даже спустя годы. Наличие данных в продаваемом наборе не доказывает, что кто-то получил доступ к аккаунту или прочитал личные сообщения: для таких выводов нужны отдельные доказательства.

Если вы до сих пор используете пароль Couchsurfing, который действовал в 2020 году, или использовали его в других сервисах, в качестве меры предосторожности замените его везде на длинные уникальные пароли, хотя о наличии паролей в этом наборе не сообщалось. Сначала защитите основной почтовый аккаунт: проверьте незнакомые сеансы, правила пересылки и адреса для восстановления доступа, затем включите многофакторную аутентификацию. Проверьте настройки профиля, конфиденциальности и общения в Couchsurfing. Если обнаружите изменения, которых вы не вносили, сообщите о них через официальный канал поддержки. Не переходите по ссылкам из сообщений о продлении членства, проблемах с оплатой, одобрении профиля, запросах на проживание или экстренной помощи в поездке. Самостоятельно откройте сайт или приложение и проверьте домен отправителя. Не считайте человека настоящим сотрудником, пользователем, принимающим гостей, или путешественником только потому, что он знает ваше имя или ID пользователя. Никогда не сообщайте пароль, одноразовый код или платёжные данные в ответ на сообщение, которого вы не ожидали; подтвердите запрос через отдельный доверенный канал.

Используйте менеджер паролей, чтобы создавать уникальный пароль для каждого сервиса: тогда будущая утечка учётных данных из другого источника не сможет затронуть остальные аккаунты. Не отключайте многофакторную аутентификацию для электронной почты и регулярно проверяйте способы восстановления доступа: сообщение о поездке может стать началом попытки взлома связанного почтового ящика. Ограничьте видимость необязательных сведений с вашим настоящим именем, личных ссылок и текста профиля, если они доступны публично. Закройте аккаунты в туристических сервисах, которыми вы больше не пользуетесь, удалите устаревшие подключения сторонних сервисов и периодически завершайте старые сеансы. Настоящие сведения об аккаунте в сообщении не доказывают подлинность отправителя: данные из утечки помогают преступникам создавать правдоподобный контекст. Обращайте внимание на неожиданные уведомления о сбросе пароля, новых сеансах и смене адреса электронной почты. Последующие уведомления о безопасности проверяйте только через официальный домен организации.

Воспользуйтесь защищённым полем поиска на этой странице, чтобы проверить все текущие и прежние адреса электронной почты, которые вы могли использовать в Couchsurfing до 2020 года. Совпадение может указывать на то, что адрес присутствует в записях, связанных с этим инцидентом; оно не означает, что пароль был раскрыт, аккаунт захвачен или весь профиль стал общедоступным. Если поиск дал результат, определите, какой почтовый ящик использовался для аккаунта, проверьте историю его безопасности и настройки Couchsurfing, а также замените повторно используемые пароли. Отсутствие совпадений не даёт абсолютной гарантии: набор данных может быть неполным, адрес мог быть записан иначе, а данные могли попасть в другую утечку. Вводите только поддерживаемый идентификатор; никогда не отправляйте пароль, одноразовый код, данные платёжной карты или содержимое личных сообщений в сервис проверки утечек. Если появится неожиданное уведомление, не переходите по ссылке в нём, откройте аккаунт через официальное приложение или домен.