Утечка данных Drizly

В записи об утечке Drizly подтверждены следующие типы данных: даты рождения, сведения об устройствах, адреса электронной почты, IP-адреса, имена, номера телефонов, почтовые адреса и хеши паролей bcrypt. Дата рождения и адрес позволяют составить более полный профиль человека. Если злоумышленникам известны и номер телефона, и адрес электронной почты, поддельные сообщения от службы поддержки, о доставке, проверке возраста или обновлении аккаунта могут выглядеть убедительнее. IP-адрес и сведения об устройстве могут дать дополнительные подсказки, позволяющие примерно определить сетевое окружение пользователя и узнать тип используемого им устройства.

Защита хешей паролей с помощью bcrypt предпочтительнее утечки паролей в открытом виде. Тем не менее риск сохраняется для слабых, коротких или повторно используемых паролей. Если те же адрес электронной почты и пароль использовались в других аккаунтах магазинов, служб доставки, почтовых сервисов или социальных сетей, злоумышленники могут попытаться войти с этой комбинацией. Поскольку речь идёт о сервисе заказа алкогольных напитков, вопрос конфиденциальности приобретает дополнительное значение: возраст пользователя, его адрес и сведения о контексте потребления могут стать основой для более адресных сообщений. Поэтому последствия утечки Drizly следует оценивать не только с точки зрения смены паролей, но и с точки зрения безопасности общения и защиты адресных данных.

Подтверждённый инцидент относится к июлю 2020 года и связан с 2 479 044 уникальными адресами электронной почты. В разных источниках может упоминаться примерно 2,5 миллиона клиентов; это округлённое число согласуется с количеством уникальных адресов электронной почты в записи. Документы регулирующих органов также рассматривают прежние уязвимости Drizly и недостатки защиты аккаунтов сотрудников. Эти сведения дают технический контекст, однако при информировании пользователя о рисках главное, подтверждённые категории клиентских данных и возможность их неправомерного использования.

Важно не расширять границы инцидента. В этой записи полные номера кредитных карт, номера банковских счетов и официальных документов, удостоверяющих личность, содержимое заказов и пароли в открытом виде не указаны как подтверждённые категории данных. Риск для паролей оценивается с учётом хеширования bcrypt. Последующее закрытие Drizly не устраняет последствия утечки 2020 года, поскольку такие сведения, как адрес электронной почты, номер телефона, дата рождения и адрес, могут долго не меняться. Эта запись относится только к инциденту с клиентскими данными Drizly в 2020 году; её не следует воспринимать как сведения о других сервисах Uber или об отдельных более поздних инцидентах.

Наибольшему риску подвержены клиенты, которые создали аккаунт Drizly или заказывали через Drizly алкогольные напитки до 2020 года. Люди, использующие тот же адрес электронной почты в аккаунтах других служб доставки, продуктовых магазинов, интернет-магазинов или почтовых сервисов, могут быть более лёгкой мишенью для злоумышленников. Дата рождения и адрес могут придать мошенническим сообщениям вид персонального обращения. Пользователи, чей номер телефона содержится в данных, могут столкнуться с мошенническими звонками о доставке, проверке возраста, обновлении аккаунта или рекламных акциях.

В группе риска также находятся пользователи, которые используют один и тот же пароль в разных сервисах. Хотя защита хешей с помощью bcrypt затрудняет немедленное получение пароля в читаемом виде, риск попыток раскрыть старые и слабые пароли сохраняется. Даже если Drizly больше не используется как самостоятельный сервис, ваш старый пароль от Drizly может по-прежнему использоваться в аккаунте электронной почты, аккаунте Uber, на платформах доставки или в других магазинах. Неизменные сведения, такие как почтовый адрес и дата рождения, могут использоваться в персонализированных фишинговых сообщениях даже спустя годы после инцидента.

Если пароль от аккаунта Drizly всё ещё используется где-либо ещё, его следует немедленно сменить. Если такой же или похожий пароль использовался для электронной почты, покупок, доставки, аккаунтов с привязанными платёжными средствами или аккаунта Uber, для каждого из них нужно задать уникальный пароль. Аккаунт электронной почты следует защитить двухфакторной аутентификацией. Если доступа к старому аккаунту Drizly нет, необходимо проверить другие аккаунты, связанные с тем же адресом электронной почты, и завершить все подозрительные сеансы.

Внимательно относитесь к сообщениям о доставке, проверке возраста, обновлении данных участника или рекламных акциях, поступающим по телефону и электронной почте. Даже если в сообщении правильно указаны ваша дата рождения, адрес или номер телефона, это не делает его достоверным. Вместо перехода по ссылкам открывайте адрес соответствующего сервиса напрямую. Отклоняйте запросы на предоставление номеров карт, одноразовых кодов, банковских сведений или паролей. Даже если утечка финансовых данных в этой записи не подтверждена, утёкшие персональные сведения впоследствии могут использоваться, чтобы обманом получить у человека финансовую информацию.

В долгосрочной перспективе следует регулярно проверять адреса, номера телефонов и даты рождения, сохранённые в аккаунтах служб доставки и магазинов. Неиспользуемые аккаунты нужно закрывать, устаревшие адреса, удалять, а для аккаунтов, созданных ради участия в рекламных акциях, лучше использовать отдельные адреса электронной почты, а не основной. Менеджер паролей упрощает проверку того, используется ли старый пароль Drizly в других аккаунтах. Поскольку почтовый адрес и дата рождения относятся к сведениям, которые не меняются, к персонализированным сообщениям с этими данными следует относиться осторожно даже спустя годы.

Для компаний инцидент Drizly показывает, что учётные записи разработчиков и данные для доступа к облаку могут представлять прямую угрозу клиентской базе. Ключевые меры включают соблюдение принципа минимальных привилегий, регулярную смену ключей доступа, надёжную аутентификацию в аккаунтах сотрудников, оповещения о необычном доступе к данным и удаление ненужных клиентских данных. Решения регулирующих органов в отношении Drizly также подчёркивают важность минимизации данных и персональной ответственности. Если компания хранит лишь минимум клиентских данных, масштаб последствий в случае утечки также сокращается.

Если вы видите совпадение в этой записи, ваш адрес электронной почты может входить в число 2 479 044 уникальных адресов, связанных с утечкой данных Drizly. Совпадение не означает, что произошла утечка полного номера вашей карты или пароля в открытом виде. Однако оно указывает на риск для безопасности, связанный с такими данными, как дата рождения, адрес, номер телефона, сведения об устройстве, IP-адрес и хеш пароля bcrypt. Первый шаг, проверить, используется ли пароль, который вы применяли во время пользования Drizly, в других аккаунтах.

Даже если Drizly больше не существует как самостоятельное приложение, утёкшие данные по-прежнему могут быть полезны злоумышленникам благодаря старым адресам электронной почты, номерам телефонов и адресам. Будьте осторожны с сообщениями о доставке, проверке возраста, обновлении аккаунта или рекламных акциях. Наличие в сообщении сведений о вас не делает его заслуживающим доверия. Защитите соответствующий аккаунт электронной почты, аккаунты служб доставки и аккаунты с привязанными платёжными средствами. Правильный подход к утечке данных Drizly, не воспринимать её лишь как старые записи закрытого сервиса, а учитывать, что персональные данные, которые долго остаются неизменными, всё ещё могут использоваться для социальной инженерии.