Утечка данных Cutout.Pro

Подтверждено раскрытие следующих категорий данных: адреса электронной почты, IP-адреса, имена и пароли. Пароли хранились не в открытом виде, а в виде хешей MD5 с солью. Соль позволяет получать разные хеши для одинаковых паролей и защищает от заранее вычисленных радужных таблиц, однако MD5, быстрый и слабый алгоритм, не подходящий для современных требований к хранению паролей. Поэтому короткие, распространённые или основанные на словарных словах пароли остаются уязвимыми для подбора без обращения к сервису. Сочетание адреса электронной почты и имени может использоваться для адресного фишинга, а IP-адрес может дать приблизительное представление о сети или регионе. Номера телефонов, физические адреса, данные платёжных карт, а также фото- и видеофайлы, которые обрабатывали пользователи, не входят в число подтверждённо раскрытых категорий данных. Число 19 972 829 на этой странице, основной подтверждённый показатель числа затронутых аккаунтов; его нельзя складывать с округлённой оценкой «20 миллионов».

Установленная дата утечки: 26 февраля 2024 года. Первое публичное сообщение о том, что на киберпреступном форуме были опубликованы около 20 миллионов пользовательских записей, появилось 27 февраля; независимые сообщения от 29 февраля и 4 марта привлекли к инциденту внимание более широкой аудитории. Подтверждённая запись была добавлена в каталог утечек 28 февраля. Записи были напрямую связаны с аккаунтами Cutout.Pro и проверены по четырём основным полям. Хеши MD5 с солью не позволяют прочитать пароли напрямую, но высокая скорость вычислений MD5 даёт злоумышленнику возможность проверять большое количество вариантов пароля. Надёжные источники не установили, как был получен первоначальный доступ, какая уязвимость использовалась и как долго злоумышленник мог сохранять доступ, поэтому здесь не делаются предположения об этих подробностях. Это подтверждённая утечка базы данных, связанная с инфраструктурой Cutout.Pro, а не подборка паролей с посторонних сайтов и не данные, собранные вредоносным ПО для кражи информации.

Наибольшему риску подвержены те, кто создал аккаунт Cutout.Pro к февралю 2024 года. Если тот же пароль использовался для электронной почты, социальных сетей, облачного хранилища, инструмента для дизайна или другого сервиса на основе ИИ, риск захвата аккаунтов выше. Хеш MD5 с солью, не сам пароль, но если слабый пароль удастся подобрать без обращения к сервису, восстановленное значение можно будет попробовать использовать в других сервисах. Дизайн-агентства, команды интернет-магазинов, фотографы и разработчики, использующие инструменты программного взаимодействия с сервисом, могут получать адресные поддельные счета, уведомления о лимитах, продлении подписки или предоставлении доступа к файлам: их рабочие адреса электронной почты дают злоумышленникам полезный контекст. IP-адрес может указывать на приблизительный регион подключения или провайдера корпоративной сети, но не позволяет установить точное местоположение. Эта запись не подтверждает раскрытие обработанных файлов изображений, поэтому её не следует считать доказательством утечки личных фотографий пользователей.

Ваша первоочередная задача, заменить пароль, который использовался в Cutout.Pro в период утечки, на надёжный и уникальный везде, где он ещё используется. Сначала защитите связанный аккаунт электронной почты, поскольку на него могут приходить ссылки для сброса паролей и уведомления о безопасности. Включите многофакторную аутентификацию в аккаунтах электронной почты, облачных хранилищ, платёжных сервисов и инструментов для дизайна. Если есть выбор, отдавайте предпочтение приложению-аутентификатору, ключу доступа или аппаратному ключу безопасности. Проверьте активные сеансы Cutout.Pro, подключённые приложения и ключи программного доступа; завершите незнакомые сеансы и замените подозрительные ключи. Чтобы сменить пароль, введите cutout.pro в браузере, а не переходите по ссылке из сообщения. Проверяйте домен отправителя в сообщениях, которые побуждают действовать срочно, например: «ваш файл обработан», «срок действия ваших кредитов истёк» или «ваша подписка приостановлена».

Случайный уникальный пароль для каждого сервиса не позволит взлому одного хеша пароля затронуть другие аккаунты. Храните учётные данные в надёжном менеджере паролей и защищайте его основной аккаунт надёжной многофакторной аутентификацией. По возможности используйте ключи доступа, чтобы меньше зависеть от паролей. Для командных аккаунтов создавайте отдельные учётные записи пользователей и назначайте права доступа по ролям вместо использования одного общего логина. Своевременно отзывайте доступ у бывших сотрудников. Никогда не размещайте ключи программного доступа в исходном коде, публичных репозиториях или сообщениях службе поддержки; регулярно заменяйте их и предоставляйте только необходимые права. Перед загрузкой клиентских файлов в сервис обработки изображений оцените, насколько чувствительны содержащиеся в них данные, удалите ненужные документы, удостоверяющие личность, или метаданные и изучите предусмотренные договором условия хранения. Постоянные уведомления об утечках могут помочь вам быстро отреагировать, если тот же адрес электронной почты появится в другом инциденте.

Чтобы узнать, есть ли ваши данные в записи об утечке Cutout.Pro, проверьте через надёжный сервис поиска по утечкам все нынешние и прежние адреса электронной почты, которыми вы могли пользоваться к 2024 году. Совпадение означает, что адрес присутствует в подтверждённом наборе данных, который может также содержать имя, IP-адрес и хеш пароля MD5 с солью. Это не доказывает, что пароль удалось взломать, но уже является достаточным основанием, чтобы больше не считать его безопасным. Проверьте и прежние корпоративные адреса: закрытый почтовый ящик может оставаться в исторической записи, а тот же пароль, по-прежнему использоваться где-то ещё. Зафиксируйте результат, не распространяя персональные данные, и в первую очередь смените пароли от электронной почты, финансовых сервисов и облачных аккаунтов. Не проверяйте адрес другого человека без его разрешения; используйте информацию только для защиты собственных аккаунтов или ресурсов организации, которыми вы уполномочены управлять.