Domino's India Утечка данных

Подтверждено раскрытие следующих типов данных: адреса электронной почты, имена, номера телефонов, физические адреса доставки, данные GPS или географического местоположения и история покупок. Записи заказов могли содержать дополнительные сведения, например о товарах, времени заказа, потраченной сумме, обозначении способа оплаты и месте доставки. Таким образом, даже одна запись могла дать полезные подсказки о привычках человека и его местонахождении. Число 22 527 655 обозначает количество уникальных адресов электронной почты; около 180 миллионов строк заказов, связанных с инцидентом, это другой показатель, который не следует выдавать за число пострадавших людей. Нельзя считать, что каждый клиент представлен всеми перечисленными полями. Раскрытие паролей, полных номеров платёжных карт и сведений о финансовых счетах не подтверждено. Компания заявила, что не хранила карточные или финансовые данные клиентов в своих системах и потому эти сведения не были скомпрометированы в ходе данного инцидента.

Jubilant FoodWorks, оператор бренда Domino's India, сообщила клиентам, что несанкционированный доступ произошёл 24 марта 2021 года. В апреле некий злоумышленник выставил на продажу на криминальном форуме то, что, по его утверждению, представляло собой около 13 TB данных клиентов, заказов и компании; в мае появился сервис в даркнете, позволявший искать по номеру телефона или адресу электронной почты. Независимые проверки обнаружили в результатах поиска подлинные данные клиентов и заказов. Компания заявила, что инцидент не повлиял на её работу, специалисты ведут расследование, а меры по локализации инцидента уже приняты. Заявление злоумышленника о данных карт не получило надёжного подтверждения и было отвергнуто компанией. Поэтому в этом описании учитываются только подтверждённые поля данных клиентов и заказов, а более широкие заявления злоумышленника об объёме или содержимом данных не представлены как установленные факты.

Наиболее очевидному риску подвергаются люди, оформлявшие заказы через сайт или мобильные каналы Domino's India до инцидента 2021 года. Сочетание адреса электронной почты и номера телефона с именем, адресом доставки и прошлыми заказами может сделать фишинг весьма убедительным, если сообщение имитирует уведомление о доставке, возврат средств, купон, предложение по программе лояльности или сообщение о проблеме с оплатой. Адреса доставки и данные GPS раскрывают чувствительные сведения о доме или месте работы; заказы, регулярно оформляемые в одно и то же время и в одних и тех же местах, также могут раскрывать привычный распорядок. Сама по себе история покупок не даёт доступа к финансовому счёту, но может раскрыть предпочтения, характер расходов и подходящий момент для мошеннического обращения. Эта запись относится к инциденту с dominos.co.in в Индии. Утечка 2014 года, затронувшая европейских клиентов pizza.dominos.be, связана с другим доменом, другой датой и другим набором данных, поэтому общий бренд не делает эти записи дубликатами.

Если вы обнаружили совпадение, проверьте имя, номер телефона, адрес электронной почты и сохранённые адреса доставки в аккаунте Domino's India. По возможности удалите устаревшие адреса и неиспользуемые аккаунты. Сообщения якобы от Domino's, курьера, платёжного провайдера или команды, проводящей рекламную акцию, следует проверять через привычное приложение или официальный сайт, а не по ссылке из полученного сообщения. Относитесь с подозрением к неожиданным требованиям оплатить доставку, сообщениям о возврате средств, активации купонов и запросам на подтверждение аккаунта, особенно если вас торопят. Если вы используете тот же пароль где-либо ещё, немедленно замените его уникальным паролем и включите многофакторную аутентификацию везде, где она доступна. Это мера предосторожности: раскрытые адреса электронной почты и сведения о человеке могут помочь в атаках на процедуры восстановления доступа к аккаунту. Она не означает, что пароли были похищены. Вы также можете отслеживать операции по карте, чтобы заметить незнакомые транзакции, однако подтверждённый состав утечки не включает номера карт, и этот инцидент не следует описывать как доказанную утечку финансовых данных.

Адреса электронной почты и номера телефонов могут меняться, но прежние места доставки, географические данные и привычки при оформлении заказов могут годами оставаться полезными для мошенников, действующих целенаправленно. Регулярно удаляйте старые адреса из аккаунтов сервисов доставки еды и интернет-магазинов, закрывайте аккаунты, которыми больше не пользуетесь, и проверяйте настройки уведомлений, чтобы сообщения о реальных операциях было легче отличать от рекламы или мошенничества. Если восстановление доступа к аккаунту зависит от номера телефона, рассмотрите возможность установить дополнительный PIN у оператора связи или защиту от несанкционированной замены SIM. Поставщики услуг могут снизить долгосрочные риски раскрытия данных, ограничивая сроки хранения клиентских данных, храня старые записи заказов отдельно, требуя надёжной аутентификации администраторов, отслеживая необычные запросы к базе данных и ограничивая массовый экспорт. Адреса доставки и точные данные о местоположении следует хранить лишь столько, сколько необходимо, а в сообщениях об инциденте, чётко различать количество уникальных людей или идентификаторов и объём строк транзакций.

Совпадение указывает на то, что адрес электронной почты, по которому выполнен поиск, может быть одним из уникальных адресов, обнаруженных в утечке Domino's India. Само по себе оно не доказывает, что были раскрыты все заказы или каждое из перечисленных полей этого человека. Проверьте, использовался ли совпавший адрес для заказов Domino's India до 2021 года, затем внимательно изучайте сообщения о доставке, купонах, возврате средств и оплате, поступающие на этот адрес или связанный с ним номер телефона. Число 22 527 655 следует понимать как количество уникальных адресов электронной почты, а около 180 миллионов строк заказов, как отдельный показатель объёма. Не делайте вывод об утечке пароля или номера карты, но учитывайте, что адрес доставки, местоположение и история покупок могут сделать социальную инженерию необычайно убедительной. Если сообщение запрашивает код аутентификации, пароль или платёжные данные, прекратите взаимодействие и самостоятельно откройте официальное приложение. Зафиксируйте любое несанкционированное изменение в аккаунте и сообщите о нём через проверенный канал поддержки сервиса.