Утечка данных Dave

Данные, перечисленные в записи об утечке Dave, несут высокий риск с учётом того, что речь идёт о финансовом приложении. Имя, адрес электронной почты, номер телефона и физический адрес в совокупности позволяют установить личность пользователя и связаться с ним напрямую. В некоторых сервисах дата рождения может использоваться для восстановления доступа к аккаунту или проверки личности службой поддержки. Поле номера социального страхования указано как зашифрованное. Это не означает, что номер утёк в читаемом виде, однако само наличие такого поля в записи указывает на повышенную чувствительность затронутых данных. Поле пароля также следует рассматривать как значение хеша bcrypt, а не как пароль в открытом виде.

Хотя Bcrypt, надёжный способ хранения паролей, связанные с ними риски не исчезают полностью. Слабые или ранее использовавшиеся пароли могут быть более уязвимы. Если пользователь применял один и тот же пароль для электронной почты, финансовых сервисов, интернет-магазинов, социальных сетей или рабочих аккаунтов, злоумышленники могут попытаться использовать подобранный или угаданный пароль на разных платформах. Физический адрес и номер телефона могут сделать попытки социальной инженерии более убедительными. Это могут быть звонки от мнимых представителей финансовых организаций, сообщения о проверке аккаунта, уведомления о денежных авансах, кредитные предложения или обращения под предлогом проверки личности.

Число 2 964 182, указанное в этой записи, отражает подтверждённое количество уникальных адресов электронной почты. По сообщениям, исходные данные, связанные с инцидентом, содержали приблизительно 7,5 миллиона строк, однако количество этих строк не равно числу уникальных пользователей. Это различие важно как для предотвращения необоснованной паники среди пользователей, так и для точного отражения фактического масштаба утечки. Датой инцидента указан июнь 2020 года. Последующее появление данных на разных форумах или в каталогах данных не меняет фактического периода утечки. Эта запись посвящена пользовательским данным Dave; её не следует путать с данными других клиентов того же стороннего поставщика услуг.

Важно также точно понимать, какие поля данных затронуты. В этой записи подтверждено наличие дат рождения, адресов электронной почты, имён, хешей паролей bcrypt, номеров телефонов, физических адресов и зашифрованного поля номера социального страхования. Наличие зашифрованного поля не означает, что номер можно прочитать в открытом виде. Аналогично, связь инцидента с финансовым приложением не означает, что эта запись содержит сведения о движении средств или данные для прямого доступа к аккаунту. Пользователю следует донести следующее: идентификационные и контактные данные несут высокий риск, необходимо проверить, не используются ли пароли повторно, и проявлять осторожность в отношении попыток мошенничества на финансовую тему.

Наибольшему риску подвергаются люди, которые пользовались приложением Dave и использовали тот же адрес электронной почты или пароль в других финансовых или личных аккаунтах. Злоумышленники могут обращаться к пользователям финансовых приложений под предлогом проверки аккаунта или личности, решения проблем с платежами, предоставления обновлённой информации о денежных авансах или сведений о кредитном рейтинге, а также звонить от имени службы поддержки. Если злоумышленник знает имя, номер телефона, адрес и дату рождения человека, такие обращения становятся более убедительными. Поэтому пользователям следует с осторожностью относиться не только к входящим письмам, но и к телефонным звонкам и текстовым сообщениям.

Для людей, которые открыли аккаунт Dave с использованием корпоративного адреса электронной почты, риски могут не ограничиваться личной сферой. Утечка данных сотрудника из приложения для личных финансов не означает, что системы организации были скомпрометированы. Однако если тот же пароль используется для рабочих аккаунтов или злоумышленник направляет сообщение на корпоративный адрес, риск может возникнуть и для организации. При использовании общего адреса, общего телефона или семейного аккаунта риск может затронуть и других людей. Сведения о физическом адресе также могут использоваться в попытках мошенничества с поддельной почтовой корреспонденцией, фиктивными доставками или под предлогом проверки личности.

Если ваши данные совпадают с данными в записи об утечке Dave, первым шагом должна стать смена пароля аккаунта Dave и всех аккаунтов, где используется такой же или похожий пароль. В первую очередь следует проверить аккаунты электронной почты, финансовых приложений, банковских сервисов, платёжных платформ, интернет-магазинов и социальных сетей. Новые пароли должны быть уникальными и надёжными; по возможности создавайте их с помощью менеджера паролей. Включите многофакторную аутентификацию в важных аккаунтах, завершите неизвестные сеансы и обновите способы восстановления доступа.

Второй шаг, принять меры предосторожности против попыток социальной инженерии на финансовую тему. Не сообщайте код подтверждения, пароль или дополнительные персональные данные и не предоставляйте доступ к аккаунту, даже если звонящий или отправитель сообщения представляется сотрудником Dave, финансовой организации, службы поддержки или подразделения аутентификации. Если нужно проверить состояние аккаунта, используйте знакомое приложение или официальный способ входа. В аккаунте электронной почты проверьте правила пересылки, адреса для восстановления доступа и недавнюю историю входов. При подозрении на мошенническую финансовую операцию или неправомерное использование ваших идентификационных данных обратитесь напрямую к соответствующим поставщикам услуг.

Инцидент с Dave показывает, что защита персональных данных, хранящихся в финансовых приложениях, не сводится только к безопасности паролей. Используйте уникальные пароли и многофакторную защиту во всех аккаунтах, связанных с финансами, электронной почтой и аутентификацией. Не забывайте, что номера телефонов и физические адреса могут использоваться в мошеннических схемах. Регулярный контроль кредитной истории и использования ваших идентификационных данных может помочь выявлять неожиданно открытые аккаунты, поддельные заявки или подозрительные финансовые уведомления. Если вы не пользуетесь старыми аккаунтами в финансовых приложениях, закройте их или пересмотрите настройки хранения данных.

Для финансово-технологических компаний этот инцидент служит уроком: риски, связанные со сторонними поставщиками услуг, могут напрямую отражаться на безопасности клиентов. Необходимо чётко ограничивать доступ поставщиков, привлекаемых для аналитики, разработки или поддержки, к клиентским данным. Пароли следует хранить с применением надёжных методов, чувствительные идентификационные данные (в зашифрованном виде, ненужный обмен данными) сводить к минимуму, а доступ сторонних организаций, регулярно проверять. После утечки пользователям нужно ясно объяснить, что было затронуто, а что точно не было затронуто.

Если результат проверки на этой странице соответствует записи об утечке Dave, отнеситесь к нему как к чувствительной информации. Сначала устраните повторное использование паролей, затем включите дополнительную проверку в аккаунтах электронной почты и финансовых сервисов. С осторожностью относитесь к неожиданным ссылкам, запросам кодов подтверждения, сообщениям о блокировке аккаунта и формам обновления идентификационных данных, поступающим от имени Dave или любого другого финансового сервиса. Поскольку сведения о физическом адресе и телефоне также входят в область риска, следите не только за электронной почтой, но и за звонками и сообщениями.

Хотя утечка Dave произошла давно, идентификационные и контактные данные сохраняют ценность в течение длительного времени. Наличие хешей паролей Bcrypt само по себе не означает, что пароли доступны в читаемом виде, однако риск сохраняется при использовании слабых или повторяющихся паролей. Зашифрованное поле номера социального страхования также само по себе не означает, что номер раскрыт в открытом виде, но означает, что запись содержит чувствительные персональные данные. Воспринимайте эту запись как конкретное предупреждение: пересмотрите подход к использованию паролей, защитите финансовые аккаунты, следите за признаками неправомерного использования ваших идентификационных данных и тщательнее проверяйте неожиданные обращения на финансовую тему.