Утечка данных Dunzo

Подтверждённые типы данных, сведения об устройствах, адреса электронной почты, данные о географическом местоположении, IP-адреса, имена и номера телефонов. Наличие и номера телефона, и адреса электронной почты позволяет проводить адресные мошеннические атаки через текстовые сообщения, звонки и электронную почту. Имя помогает персонализировать сообщение. IP-адрес и географическое местоположение могут дать представление о примерном районе нахождения пользователя или о городе, где он пользуется сервисом. Сведения об устройстве могут дополнительно указывать на тип используемого устройства или его технический профиль.

Поскольку утечка паролей в этом случае не подтверждена, прямой риск захвата аккаунта более ограничен, чем при утечках паролей. Однако контактные данные и сведения о местоположении дают широкие возможности для социальной инженерии. Злоумышленник может запросить у пользователя дополнительные сведения под предлогом изменения адреса доставки, возврата платежа, задержки заказа, предоставления промокода или обновления аккаунта. Для пользователей, чей номер телефона присутствует в данных, поддельные звонки и текстовые сообщения представляют повышенный риск. Географический контекст может сделать сообщение правдоподобным для района, где пользователь живёт или получает услуги.

Подтверждённая дата инцидента указана как 19 июня 2020 года, а запись была добавлена в списки подтверждённых утечек 29 июля 2020 года. Число затронутых уникальных адресов электронной почты составляет 3 465 259. В некоторых новостных сообщениях могут приводиться цифры около 3,4 миллиона, 3,5 миллиона или выше; эта страница опирается на число подтверждённых уникальных адресов электронной почты, используемых в запросе. Подтверждено, что набор данных распространялся на интернет-форумах и связывался с данными Dunzo.

Не следует расширять подтверждённый объём утечки. В этой записи пароли, данные платёжных карт, банковских счетов, официальных удостоверений личности, физические адреса, содержимое заказов, покупки лекарств и подробная история доставки не относятся к подтверждённым категориям данных. Поле географического местоположения не означает, что для каждого пользователя имеются точные GPS-координаты: оно может содержать лишь сведения о районе или иной ограниченный контекст местоположения. Поэтому не следует создавать у пользователей впечатление, что точный адрес доставки или подробная история заказов входят в подтверждённый объём утечки. Реальный риск связан с совместным использованием контактных данных, сведений об устройстве, IP-адреса и местоположения.

Наибольшему риску подвержены клиенты, которые через Dunzo пользуются услугами доставки, в том числе продуктов и посылок, или другими внутригородскими услугами. Пользователи, чьи номера телефонов и адреса электронной почты присутствуют в данных, могут стать мишенью поддельных уведомлений о доставке или звонков от имени службы поддержки. Имя и сведения о местоположении могут создать впечатление, что сообщение основано на реальной истории пользования сервисом. Для тех, кто использует один и тот же номер телефона в аккаунтах разных служб доставки и магазинов, повышается риск атак сразу через несколько сервисов.

Пользователи, получавшие услуги в городах Индии, где работает Dunzo, могут быть более заметны для злоумышленников. IP-адрес и сведения об устройстве могут помочь злоумышленнику адаптировать сообщение под конкретное устройство или регион. Поскольку утечка паролей не подтверждена, в первую очередь стоит сосредоточиться не на смене пароля, а на распознавании поддельных обращений. Однако если вы используете слабый пароль от аккаунта Dunzo и на других платформах, для общей безопасности аккаунтов рекомендуется использовать уникальные пароли и дополнительную проверку. Этот инцидент особенно важен с точки зрения телефонного мошенничества и фишинга через SMS.

Неожиданные сообщения от имени Dunzo о доставке, возврате, акции, проверке аккаунта или корректировке платежа требуют внимательного отношения. Даже если в сообщении правильно указаны ваши имя, номер телефона или местоположение, это не доказывает его безопасность. Вместо перехода по ссылке войдите в соответствующий аккаунт напрямую через официальный сайт или приложение. Если звонящий просит сообщить номер карты, банковские данные, одноразовый код, пароль или предоставить документ, удостоверяющий личность, прекратите взаимодействие.

Включите двухфакторную аутентификацию в почтовом аккаунте и используйте средства фильтрации спама и мошеннических звонков и сообщений на телефоне. Проверьте видимые сведения и настройки связи в аккаунте Dunzo. Поскольку утечка паролей в этом инциденте не подтверждена, одна лишь эта запись не даёт оснований паниковать и массово менять пароли. Тем не менее использование уникальных паролей для важных аккаунтов, привязанных к тому же адресу электронной почты, остаётся полезной мерой безопасности. Во всех сообщениях, связанных с платформами доставки, также следует отдельно проверять запросы на оплату и действия по проверке аккаунта.

В долгосрочной перспективе следует регулярно проверять номера телефонов и адреса электронной почты, используемые в аккаунтах служб доставки и магазинов. Отдельный адрес для акций и служб доставки вместо основной электронной почты может уменьшить влияние утечек данных на основные аккаунты. Не указывайте номер телефона в аккаунтах, где он не нужен, закрывайте старые аккаунты и сводите к минимуму сведения в видимых полях профиля. Помните, что технические сведения, такие как IP-адрес, данные об устройстве и местоположении, также являются персональными данными.

Для операторов платформ инцидент с Dunzo показывает, что предоставление доступа сторонним системам создаёт прямой риск для данных клиентов. Следует ограничивать доступ поставщиков, управлять доступом к данным клиентов по принципу минимальных привилегий, отслеживать выгрузки больших объёмов данных и не хранить контактные сведения, такие как номера телефонов и адреса электронной почты, без необходимости. Даже если платёжные данные не затронуты, неправомерное использование контактных данных и сведений о местоположении серьёзно подрывает доверие пользователей.

Если вы видите совпадение по этой записи, ваш адрес электронной почты мог быть обнаружен среди 3 465 259 уникальных адресов, связанных с утечкой данных Dunzo. Совпадение не означает, что ваш пароль, данные платёжной карты или история заказов утекли. Подтверждённые поля, сведения об устройстве, адрес электронной почты, географическое местоположение, IP-адрес, имя и номер телефона. В первую очередь следует внимательнее оценивать сообщения о доставке, поступающие на этот адрес электронной почты и номер телефона.

Не открывайте напрямую ссылки, присланные от имени Dunzo или аналогичных платформ доставки; проверяйте аккаунт через официальный канал. Не сообщайте одноразовые коды, данные карт или пароли в ответ на поступившие по телефону запросы об оплате, возврате средств или проверке аккаунта. Правильный подход к утечке данных Dunzo, не паниковать из-за неподтверждённых заявлений об утечке паролей или истории заказов, а учитывать, что контактные данные и сведения о местоположении могут использоваться для адресного мошенничества, и усилить меры безопасности при работе с сообщениями.