Утечка данных Ducks Unlimited

Подтверждённые типы данных, даты рождения, адреса электронной почты, имена, номера телефонов, физические адреса и хеши паролей MD5 без соли. Сочетание электронной почты, имени, телефона и адреса позволяет составить довольно подробное представление о личности пользователя. Если к ним добавить дату рождения, поддельные сообщения о проверке членства, обновлении сведений о пожертвованиях, подтверждении адреса или восстановлении аккаунта могут выглядеть убедительнее. Поле физического адреса особенно важно, поскольку риск не ограничивается безопасностью онлайн-аккаунтов: эти сведения могут также способствовать целевому мошенничеству по почте и телефону.

Хеш пароля, это не пароль в открытом виде, однако MD5 без соли не считается надёжной защитой. Злоумышленникам проще подобрать слабые пароли и попытаться использовать их в других аккаунтах с тем же адресом электронной почты. Участники и жертвователи организаций могли использовать те же адрес и пароль в других объединениях, интернет-магазинах, на форумах или в почтовых аккаунтах. Поэтому утечку данных Ducks Unlimited следует оценивать не только с точки зрения риска спама, но и с учётом возможного захвата аккаунтов, мошенничества в отношении жертвователей и нарушения конфиденциальности адресов.

Подтверждённая дата инцидента указана как 29 января 2021 года. О наборе данных сообщалось в связи с базой данных Ducks Unlimited, которую покупали и продавали в интернете в середине 2021 года. 16 ноября 2021 года набор был добавлен в реестр подтверждённых утечек. Запись содержит 1 324 364 уникальных адреса электронной почты. В некоторых сообщениях может встречаться формулировка «около 1,3 миллиона пользователей или участников»; эта страница опирается на точное число уникальных адресов электронной почты, используемых в запросе.

Объём утечки следует рассматривать с учётом двух основных списков: списка членов организации и списка пользователей сайта. Это не означает, что для каждого человека, по которому найдено совпадение, присутствует один и тот же набор полей. Одни записи могут относиться к сведениям об участниках, другие, к сведениям о веб-аккаунтах. Подтверждённые поля, дата рождения, электронная почта, имя, телефон, физический адрес и хеш пароля. Данные кредитных карт, банковских счетов, сумм пожертвований, официальных удостоверений личности или чувствительные сведения о здоровье не относятся к подтверждённым типам данных в этой записи.

Наибольшему риску подвержены члены Ducks Unlimited, жертвователи и пользователи с аккаунтом на сайте. Для людей из списка участников такие поля, как адрес, номер телефона и дата рождения, могут представлять более прямую угрозу конфиденциальности. Для владельцев аккаунтов на сайте на первый план выходит риск повторного использования паролей. Если те же адрес электронной почты и пароль используются в других аккаунтах, злоумышленники могут попытаться применить их на разных сервисах. Принадлежность к организации или участие в пожертвованиях могут использоваться для создания доверия к поддельным сообщениям о возобновлении пожертвований или проверке членства.

Люди, чьи физические адреса и номера телефонов попали в утечку, могут стать целью атак по обычной почте, телефону или электронной почте. Злоумышленник может подготовить от имени организации поддельную кампанию по сбору пожертвований, сообщение об обновлении членства, уведомление о награде или запрос на подтверждение аккаунта. Дата рождения также может использоваться в таких сообщениях для создания дополнительного доверия. Даже если запись старая, такие сведения, как адрес и дата рождения, могут долго оставаться неизменными. Поэтому пользователям следует защищать не только пароли, но и каналы связи.

Если пароль от аккаунта Ducks Unlimited всё ещё используется в другом аккаунте, его следует немедленно сменить. Если тот же или похожий пароль использовался в почте, на сайтах для пожертвований, в интернет-магазинах, социальных сетях или на форумах, для всех этих аккаунтов нужно установить уникальные пароли. В основном почтовом аккаунте следует включить двухфакторную аутентификацию. Если почтовый аккаунт будет скомпрометирован, под угрозой окажутся и ссылки для сброса паролей других аккаунтов. Менеджер паролей помогает выявить повторное использование старых паролей.

Просьбы о пожертвовании, продлении членства, подтверждении адреса или обновлении аккаунта, поступающие по телефону, обычной или электронной почте, следует тщательно проверять. Даже если в сообщении правильно указаны ваши имя, адрес или дата рождения, само по себе это не доказывает его безопасность. Если вас просят совершить платёж, сообщить номер карты, банковские сведения, одноразовый код или пароль, остановите операцию и проверьте её через известные вам официальные каналы. Даже если получатель платежа в рамках этого инцидента не был подтверждён, утёкшие контактные данные впоследствии могли быть использованы, чтобы обманом получить платёжную информацию.

В долгосрочной перспективе для аккаунтов, связанных с членством и пожертвованиями, следует использовать отдельные уникальные пароли. Использование одного адреса электронной почты для нескольких аккаунтов, связанных с пожертвованиями, кампаниями и членством, повышает риск целевого мошенничества. Пользователям следует закрыть веб-аккаунты, которыми они больше не пользуются, пересмотреть настройки общения с организациями и свести к минимуму необязательные сведения в профилях. Аккаунты, содержащие физический адрес и номер телефона, нужно регулярно проверять. Даже старые адреса могут использоваться в социальной инженерии как сведения, ранее применявшиеся для подтверждения личности.

Для организаций этот инцидент показывает, что сведения об участниках и пожертвованиях следует считать чувствительными персональными данными. Хеши паролей не следует хранить с применением слабых методов, таких как MD5 без соли; нужно использовать современные, ресурсоёмкие методы хеширования с солью. Списки участников и пользователей сайта не следует хранить дольше необходимого, права доступа нужно ограничивать, операции массового экспорта, отслеживать, а уведомления после утечки должны быть понятными. Доверие жертвователей зависит не только от защиты платёжных данных, но и от защиты адресов и контактной информации.

Если вы видите совпадение в этой записи, ваш адрес электронной почты мог быть найден среди 1 324 364 уникальных адресов, связанных с утечкой данных Ducks Unlimited. Совпадение не означает, что данные вашей платёжной карты или банковские сведения попали в утечку. Подтверждённые поля, дата рождения, электронная почта, имя, телефон, физический адрес и хеш пароля MD5 без соли. В первую очередь проверьте, где ещё вы использовали старый пароль от этого аккаунта.

Если ваш старый пароль используется в других аккаунтах, смените его. Включите двухэтапную проверку в почтовом аккаунте и проверяйте сообщения о членстве или пожертвованиях напрямую через официальные каналы. Не спешите передавать платёжные данные или сведения для подтверждения в ответ на сообщения, содержащие ваш адрес и номер телефона. Утечку данных Ducks Unlimited следует рассматривать не просто как раскрытие списка участников: важно учитывать, что слабые хеши паролей в сочетании с адресами и телефонными номерами могут создавать долгосрочные риски для аккаунтов и возможности для мошенничества.