Утечка данных Data & Leads

В записи Data & Leads подтверждено наличие адресов электронной почты, сведений о работодателях, IP-адресов, должностей, имен, номеров телефонов и физических адресов. Такое сочетание раскрывает не только контактный адрес человека, но и его профессиональную среду и способы связи с ним. Злоумышленник или недобросовестная маркетинговая сеть может использовать имя, название компании, должность и электронный адрес, чтобы составлять сообщения, которые выглядят персонализированными. Номера телефонов и физические адреса также могут сделать попытки мошенничества более убедительными. IP-адреса, в свою очередь, могут дать дополнительные сведения об обстоятельствах прежних подключений, регионе или сетевом провайдере.

В утечке Data & Leads нет поля с паролем. Это важное различие: нельзя на этом основании сообщать пользователю, что пароль от его аккаунта скомпрометирован. Тем не менее такие поля, как рабочая электронная почта, номер телефона и должность, упрощают злоумышленнику связь с человеком. Сотрудники, занятые управлением, продажами, финансами, кадровыми вопросами, закупками или принятием технических решений, могут быть более уязвимы к атакам с использованием поддельных предложений, перенаправления платежей, изменений в счетах, приглашений на встречи или выдачи себя за партнера. Поэтому при оценке риска важнее учитывать безопасность коммуникаций и осведомленность о социальной инженерии, чем смену паролей.

Подтвержденный объем утечки Data & Leads составляет 44 320 330 уникальных адресов электронной почты. В новостных сообщениях об инциденте может указываться большее количество исходных записей. Однако общее количество строк не равно числу уникальных людей или уникальных электронных адресов. Один человек может встречаться в нескольких строках, некоторые записи могут быть неполными, а отдельные сведения о профессиональной деятельности, устаревшими. Поэтому число, показанное пользователю, отражает подтвержденный охват уникальных адресов электронной почты. Связь набора данных с маркетингом и поиском потенциальных клиентов также указывает на то, что содержащиеся в нем сведения могли быть собраны из разных источников.

Важно также четко обозначать, какие именно поля данных подтверждены. В записи Data & Leads пароли и финансовые или медицинские сведения высокой степени конфиденциальности не входят в число подтвержденных полей. Наличие должности человека или сведений о его работодателе не означает, что системы компании были скомпрометированы. Аналогичным образом физический адрес не обязательно является домашним адресом каждого человека: это может быть адрес компании, офиса или иной адрес, внесенный в маркетинговый список. Поэтому, перечисляя подтвержденные поля, не следует утверждать, что сведения в них одинаково полны и актуальны для каждого человека.

Наибольшему риску подвержены специалисты, чья рабочая электронная почта и прямые контактные данные включены в этот набор. Особому риску целенаправленных атак могут подвергаться сотрудники отделов продаж, руководители, владельцы бизнеса, консультанты, специалисты по подбору персонала, сотрудники финансовых подразделений и лица, принимающие технические решения. Зная компанию и должность человека, злоумышленник может создать более убедительный сценарий. Например, он может составить сообщение, похожее на запрос нового клиента, предложение делового партнерства, исправление счета, ссылку на встречу, файл с предложением или письмо от кадровой службы. Такие атаки могут направить пользователя по вредоносной ссылке или побудить его предоставить новые сведения независимо от наличия паролей в утечке.

Малому бизнесу и независимым специалистам также следует проявлять осторожность. Если личный номер телефона или адрес используется и для делового общения, поверхность атаки увеличивается. Поскольку такие люди обычно используют один и тот же электронный адрес или телефон для рабочих и личных аккаунтов, утечка из маркетингового списка может привести к составлению более подробного профиля личности. Для адресов электронной почты в корпоративных доменах риск не ограничивается отдельными людьми: злоумышленники могут сопоставить данные нескольких сотрудников одной компании, восстановить ее организационную структуру и подготовить более адресные кампании рассылки.

Пользователям, чьи данные совпали с записью Data & Leads, прежде всего следует внимательнее проверять поступающие предложения работы, приглашения к обмену файлами, уведомления о счетах, ссылки на встречи и сообщения об обновлении аккаунта. Не следует открывать ссылки прямо из сообщений, а подлинность страниц, предлагающих скачать файл или войти в аккаунт, нужно проверять по отдельному каналу. Если запрос поступил по телефону, личность звонящего следует подтвердить, связавшись с организацией по известному номеру или через ранее проверенный канал связи. Сообщения, составленные с использованием сведений о работодателе или должности, могут выглядеть правдоподобно. Поэтому правильные персональные данные сами по себе не делают сообщение заслуживающим доверия.

Пользователям также следует проверить безопасность рабочей электронной почты. Хотя пароль не входит в состав утечки Data & Leads, риск может возрасти, если рабочий электронный адрес фигурировал в других утечках. Поэтому для критически важных аккаунтов следует использовать уникальные пароли и многофакторную аутентификацию. В почтовом аккаунте нужно проверить правила пересылки, неизвестные сеансы и способы восстановления доступа. На уровне организации следует предупредить отделы продаж, финансовые подразделения и руководителей о возможном поступлении адресных сообщений, связанных с Data & Leads. Для запросов на перенаправление платежей и изменение сведений о поставщиках особенно важно ввести дополнительное согласование.

Инцидент Data & Leads показывает, что значение маркетинговых баз и наборов данных о потенциальных клиентах для личной безопасности нельзя недооценивать. Специалистам следует регулярно проверять, где они размещают рабочие контактные данные, отписываться от ненужных рассылок, добиваться удаления своих записей у поставщиков данных и осторожно добавлять личные номера телефонов и адреса в рабочие формы. Компаниям также следует избегать избыточного размещения электронных адресов сотрудников и прямых телефонных номеров в открытых источниках. Если публичность контактных данных неизбежна, следует усилить процедуры проверки на мошенничество.

Для компаний, обрабатывающих данные, главный урок состоит в том, что маркетинговые списки, это тоже персональные данные, которые необходимо защищать. Отсутствие паролей или платежной информации не делает список малорисковым. Сочетание электронного адреса, телефона, работодателя, должности и адреса представляет большую ценность для адресной социальной инженерии. Поэтому базы данных следует защищать с помощью контроля доступа, аутентификации, сетевых ограничений, журналирования и отказа от хранения ненужных данных. Организациям, работающим со сторонними поставщиками данных, следует регулярно проверять, какие данные хранятся, где и как долго.

Если результат проверки на этой странице показывает совпадение с записью Data & Leads, ваш адрес электронной почты мог входить в базу профессиональных контактов или маркетинговых данных. Первый шаг, строже проверять рабочие сообщения, поступающие на этот адрес. Даже если в сообщении правильно указаны ваш работодатель, должность или номер телефона, перед переходом по ссылке или открытием файла следует подтвердить подлинность запроса по отдельному каналу. Поскольку утечка могла также включать телефон и адрес, к неожиданным звонкам и уведомлениям, доставленным обычной почтой, следует относиться внимательно.

Поскольку эта утечка не содержала паролей, одной лишь смены пароля недостаточно. Основная цель, снизить риск составления профиля личности и мошенничества через каналы связи. Следует усилить безопасность рабочей электронной почты, использовать дополнительную проверку в важных аккаунтах, передавать подозрительные сообщения команде безопасности организации и выработать привычку повторно проверять запросы на оплату или предоставление документов. Организациям, в свою очередь, следует отслеживать затронутые домены и давать сотрудникам краткие и понятные предупреждения о сценариях адресных атак.