Утечка данных devkitPro

Подтверждённые типы данных, адреса электронной почты, сообщения на форуме, личные сообщения и хеши паролей. В отличие от общедоступных сведений профиля, личные сообщения могут содержать переписку пользователей один на один, планы проектов, подробности об ошибках, личные заметки или косвенные сведения о других сервисах. Раскрытие этих данных грозит не только спамом или фишингом, но и потерей конфиденциальности и подрывом доверия внутри сообщества. Сообщения на форуме могут уже находиться в открытом доступе, однако их объединение с другими контекстными данными может облегчить составление профилей пользователей.

Поле пароля следует рассматривать не как пароль в открытом виде, а как хеш пароля с недостаточно надёжной солью. Это не означает, что пароль можно прочитать напрямую, однако повышает риск подбора старых или простых паролей. Риск возрастает, если те же адрес электронной почты и пароль используются на других форумах, сайтах для обмена кодом, в почтовых аккаунтах или инструментах разработки игр. Утечка данных devkitPro особенно значима для атак, в которых могут использоваться в совокупности псевдонимы разработчиков, история их сообщений на форуме и связи в техническом сообществе.

Подтверждённая дата инцидента указана как 3 февраля 2019 года, а запись была добавлена в списки утечек примерно 11 февраля 2019 года. Масштаб ограничен 1 508 уникальными адресами электронной почты. Инцидент касается данных форума devkitPro и не означает, что наборы инструментов devkitPro, пакеты или локальные среды разработки пользователей были скомпрометированы. Это важное различие: бренд связан с экосистемой инструментов для разработчиков, однако описанный здесь риск относится к аккаунтам на форуме и данным форума.

Перечень затронутых данных также не следует расширять. В этой записи не подтверждено наличие финансовых данных, адресов, телефонных номеров, сведений из официальных удостоверений личности или ключей доступа к репозиториям исходного кода. Не следует делать обобщения о содержимом личных сообщений и сообщений на форуме: оно может различаться у разных пользователей. Нельзя утверждать, что каждое личное сообщение содержит конфиденциальную информацию, однако само раскрытие поля личных сообщений создаёт риск для конфиденциальности. При оценке риска, связанного с паролями, также необходимо сохранять различие между паролем в открытом виде и слабо защищённым хешем пароля.

К основной группе риска могут относиться разработчики, имевшие аккаунты на форуме devkitPro до 2019 года, энтузиасты модификаций, участники сообщества разработчиков самодельного ПО для игровых консолей и пользователи, получавшие техническую поддержку. Людей, использующих одно и то же имя пользователя на других форумах или платформах для обмена кодом, проще связать с их аккаунтами на этих площадках. Совместный анализ адресов электронной почты, сообщений на форуме и личных сообщений может дать больше сведений о технических интересах человека, используемых им инструментах и его связях в сообществе.

Люди, повторно использующие пароли, также находятся в зоне риска. Даже если старый пароль от форума сегодня кажется неактуальным, пароли, построенные по тому же шаблону, могут по-прежнему использоваться в почте, на платформах размещения кода, в менеджерах пакетов, игровых магазинах или других сообществах. Ссылки, временные учётные данные для доступа или сведения о проектах, которыми делились в личных сообщениях, могут помочь отследить некоторые технические аккаунты, даже если эта информация относится к прошлому. Поэтому, несмотря на небольшой масштаб утечки данных devkitPro, следует проверить всю цепочку связанных аккаунтов разработчика.

Смените пароль, который использовался на форуме devkitPro. Если такой же или похожий пароль использовался в других технических аккаунтах, почте, на форумах или в игровых сервисах, замените его везде на уникальные пароли. В первую очередь защитите почтовый аккаунт, поскольку ссылки для восстановления доступа к другим аккаунтам часто приходят по электронной почте. Включите двухфакторную аутентификацию в аккаунтах, которые её поддерживают. Если в старых личных сообщениях есть ссылки, временные пароли или приглашения к аккаунтам, убедитесь, что они больше не действуют.

Также внимательно оценивайте сообщения, получаемые в сообществах разработчиков. Человек, знакомый с контекстом старых обсуждений на форуме, может подготовить сообщения под видом технической поддержки, уведомлений об ошибках сборки, обновлений пакетов или приглашений в проекты. Вместо перехода по ссылке открывайте соответствующий сервис напрямую. Проверьте, нет ли незнакомых сеансов в репозиториях кода, аккаунтах для работы с пакетами и панелях управления сообществами. В этом инциденте наличие финансовых данных не подтверждено, поэтому нет оснований для паники по поводу банков или карт. Однако следует проявить осторожность в отношении связанных аккаунтов и конфиденциальности личных сообщений.

В долгосрочной перспективе используйте для сообществ разработчиков отдельные адреса электронной почты и уникальные пароли. Не раскрывайте без необходимости в аккаунтах на форумах сведения, которые в точности совпадают с вашим основным адресом электронной почты, основным именем пользователя или данными, по которым вас можно идентифицировать в профессиональной среде. Не храните в личных сообщениях постоянные учётные данные для доступа, коды приглашений или конфиденциальные сведения о проектах. Регулярно проверяйте старые аккаунты в сообществах, закрывайте неиспользуемые и сводите к минимуму объём общедоступных сведений в профилях. Использование менеджера паролей помогает не допустить, чтобы старые пароли от форумов продолжали использоваться в других аккаунтах.

Для администраторов сообществ и форумов инцидент devkitPro показывает, что даже небольшим платформам необходимы надёжное хранение паролей и практики минимизации данных. Следует ограничивать сроки хранения личных сообщений, защищать резервные копии, своевременно обновлять программное обеспечение форума и ужесточать контроль доступа администраторов. Хеши паролей следует создавать с помощью современных, вычислительно затратных и безопасных методов. Предоставление пользователям ясной информации в пределах подтверждённых сведений после инцидента позволяет избежать как ненужной паники, так и недооценки реальных рисков для безопасности аккаунтов.

Если вы видите совпадение в этой записи, ваш адрес электронной почты может входить в число 1 508 уникальных адресов, связанных с утечкой данных devkitPro. Совпадение может указывать на то, что ваш адрес присутствовал в данных аккаунта на форуме, личном сообщении или сообщении на форуме. Это не означает, что ваши финансовые сведения были раскрыты, однако требует проверки данных, связанных с вашей личностью на форуме, содержимым личных сообщений и историей использования паролей. В первую очередь определите, где ещё вы использовали пароль от форума в соответствующий период.

Проверьте старые форумы разработчиков, репозитории кода, аккаунты для работы с пакетами и профили в сообществах. Риск выше, если один и тот же пароль или имя пользователя используются в нескольких местах. Если ранее в личных сообщениях передавались ссылки или данные для доступа, отзовите их, чтобы они больше не действовали. Правильная реакция на утечку данных devkitPro, не преувеличивать её последствия, представляя инцидент как крупный финансовый ущерб, а рассматривать его как небольшую утечку с форума, значимую из-за личных сообщений и цепочки связанных аккаунтов разработчика. Следует защитить пароли, почтовые аккаунты и аккаунты в технических сообществах.