Disqus Утечка данных

В раскрытом снимке базы данных в открытом виде содержались адреса электронной почты, имена пользователей Disqus, даты регистрации и последнего входа. Подтверждённое число затронутых аккаунтов составляет 17 551 044 аккаунта, связанных с уникальными адресами электронной почты. Примерно для трети аккаунтов в снимке были хеши паролей SHA-1 с солью, а не пароли в открытом виде; поэтому категория данных «Пароли» обозначает именно эти хеши, а не читаемые учётные данные. У пользователей, которые входили через сервис аутентификации социальной сети, вместо пароля Disqus были ссылки на соответствующие внешние аккаунты. SHA-1 и добавление соли не раскрывают пароль напрямую, но не могут полностью защитить короткие или распространённые пароли от подбора без обращения к сервису. Сочетание адреса электронной почты, имени пользователя и дат активности может использоваться для целевого фишинга, рассылки спама, связывания старых аккаунтов и атак с подстановкой украденных учётных данных на сторонние сервисы. Наличие платёжных данных или сведений о банковских картах в рамках этого инцидента не подтверждено.

Раскрытый снимок был сделан из базы пользователей за 2012 год, включал сведения начиная с 2007 года и не содержал данных позднее июля 2012 года. Поэтому в этой записи 1 июля 2012 года используется как условная дата инцидента с точностью до месяца; достоверные общедоступные сведения не позволяют установить точный день доступа или технический способ проникновения. Disqus узнала об инциденте спустя годы, когда независимый исследователь сообщил о наборе данных 5 октября 2017 года. В тот же день компания получила данные и начала проверять их подлинность; 6 октября она сбросила пароли аккаунтов, чьи хеши присутствовали в наборе, связалась с затронутыми пользователями и опубликовала уведомление. Disqus сообщила, что в конце 2012 года перешла с SHA-1 на более стойкий алгоритм хеширования паролей bcrypt. На момент публичного раскрытия не было выявлено свидетельств несанкционированных входов, связанных с утечкой, однако возможность восстановления паролей без обращения к сервису требовала мер защиты от последствий их повторного использования.

Наибольшему риску подвержены пользователи, которые зарегистрировались напрямую с помощью адреса электронной почты и пароля в 2012 году или раньше и использовали тот же или похожий пароль на других сервисах. Хеши SHA-1 с солью, присутствовавшие примерно для трети аккаунтов, особенно уязвимы, если пароли были короткими или основывались на распространённых словах. Если пароль удастся восстановить, злоумышленники могут попробовать использовать его для входа в почту, социальные сети, на форумы или в интернет-магазины. Паролей от внешних социальных сервисов, через которые пользователи входили в Disqus, в снимке не было, хотя адрес электронной почты, имя пользователя и ссылка на внешний аккаунт могли быть раскрыты. Даты регистрации и последнего входа могут помочь злоумышленнику отличить активные аккаунты от заброшенных и сделать сообщение более убедительным. У тех, кто позднее сменил пароль и везде использовал уникальные учётные данные, риск захвата аккаунтов ниже, но фишинг, направленный на старый адрес электронной почты, всё ещё может оказаться эффективным.

Если пароль Disqus, которым вы пользовались в 2012 году, всё ещё используется на другом сервисе, замените его везде на длинные уникальные пароли. Disqus сбросила затронутые пароли в 2017 году, но это не могло изменить такие же пароли на сторонних сайтах. В первую очередь защитите основную электронную почту, менеджер паролей, социальные сети и сервисы, где сохранён способ оплаты. Включите многофакторную аутентификацию для почты и других важных аккаунтов, затем проверьте активные сеансы, адреса для восстановления доступа и распознанные устройства. Не доверяйте сообщению лишь потому, что в нём упоминаются ваш старый комментарий в Disqus, имя пользователя или дата регистрации. Вместо перехода по ссылкам из сообщений, предлагающих сбросить пароль, подтвердить аккаунт или удалить комментарий, самостоятельно откройте официальный адрес сервиса. Никогда не сообщайте одноразовый код аутентификации, текущий пароль или мастер-пароль менеджера паролей в переписке или по телефону.

Если менеджер паролей создаёт случайный уникальный пароль для каждого сервиса, восстановление пароля из одного старого хеша не приведёт к компрометации других аккаунтов. Постоянно держите многофакторную аутентификацию включённой на важных сервисах и безопасно храните коды восстановления вне сети. Закройте неиспользуемые аккаунты на платформах для комментариев, форумах и в социальных сетях либо сведите к минимуму оставленные в них сведения профиля: забытые аккаунты могут помочь связать данные о вашей личности из разных источников. Не считайте утечку 2012 года безобидной только потому, что она произошла давно; утёкшие данные сохраняют ценность, если тот же пароль или связь с адресом электронной почты используются и сегодня. Следите за неожиданными уведомлениями о входе и сбросе пароля, периодически проверяйте правила пересылки почты и не используйте повторно ответы на контрольные вопросы, если эти ответы легко выяснить из открытых источников. Исходите из того, что старые имена пользователей можно связать с публичными профилями, и дополнительно проверяйте сообщения, построенные на этих давних сведениях.

Воспользуйтесь защищённым полем поиска на этой странице, чтобы проверить все нынешние и прежние адреса электронной почты, которыми вы пользовались в Disqus. Совпадение означает, что адрес входит в число 17 551 044 уникальных адресов электронной почты в проверенном снимке базы данных; оно не доказывает, что пароль был восстановлен или аккаунт был захвачен. Если найдено совпадение, выясните, где вы повторно использовали пароль времён 2012 года, и замените его везде, где он сохранился. Отсутствие результата не даёт абсолютной гарантии: адрес мог быть записан иначе, запись могла не войти в этот набор данных или могла произойти другая утечка. Никогда не вводите пароль, учётные данные для входа через социальную сеть или код аутентификации в поле поиска по утечкам. Периодическая повторная проверка старых адресов может помочь раньше обнаружить недавно опубликованные записи об утечках и дать вам время усилить защиту аккаунтов до того, как украденные данные будут использованы во вред.